CVE-2026-15648: Stored Cross-Site Scripting w wtyczce Brands for WooCommerce dla WordPress

Co wiadomo

Wtyczka Brands for WooCommerce dla WordPress do wersji 3.8.8 zawiera podatność na przechowywany atak Cross-Site Scripting (XSS) poprzez atrybut shortcode 'width'. Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym eskalację uprawnień i potencjalne przejęcie sesji użytkowników odwiedzających zainfekowane strony, co może prowadzić do wycieku danych lub manipulacji treścią. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej i danych użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Brands for WooCommerce i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niepozwalającego na wprowadzanie shortcode z atrybutem 'width', monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference