CVE-2026-15665: Stored XSS w wtyczce Fluent Support dla WordPress

Co wiadomo

Wtyczka Fluent Support – Helpdesk & Customer Support Ticket System dla WordPress do wersji 2.3.0 zawiera lukę Stored Cross-Site Scripting (XSS) w atrybucie shortcode 'redirect-to' z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Luka pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony przez użytkowników. Choć exploitacja jest utrudniona przez ukryty charakter payloadu i specyficzne warunki uruchomienia, luka może prowadzić do kradzieży sesji lub innych ataków XSS, wpływając na bezpieczeństwo użytkowników i reputację serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Fluent Support do wersji nowszej niż 2.3.0, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz monitorować strony pod kątem nieautoryzowanych zmian. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference