CVE-2026-1574: podatność Stored XSS w wtyczce MyQtip dla WordPress

Co wiadomo

Wtyczka MyQtip – easy qTip2 dla WordPress do wersji 2.0.5 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'myqtip'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i infrastrukturę IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji shortcode 'myqtip' tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeprowadź przegląd uprawnień użytkowników i rozważ ograniczenie ich do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference