Lpagery WordPress Plugin podatny na trwały Cross-Site Scripting (CVE-2026-15404)

Co wiadomo

Wtyczka Lpagery dla WordPressa w wersjach do 2.5.7 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez tytuły wpisów. Luka wynika z niewystarczającej sanitacji danych i braku odpowiedniego kodowania w funkcji wyświetlającej tytuł wpisu w skrypcie JavaScript.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin strony administracyjnej przez użytkownika o wyższych uprawnieniach, np. administratora. Może to prowadzić do przejęcia sesji, eskalacji uprawnień lub innych działań szkodliwych dla bezpieczeństwa witryny i jej użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Lpagery i ich instalację. W przypadku braku łatki należy ograniczyć dostęp do funkcji edycji wpisów do zaufanych użytkowników, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Priorytetowo traktuj aktualizacje i audyt uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference