Luka XSS w wtyczce Comment Genius dla WordPress (CVE-2026-1647)

Co wiadomo

Wtyczka Comment Genius dla WordPress do wersji 1.2.5 jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr $_SERVER['PHP_SELF']. Luka wynika z niewystarczającej sanitizacji i ucieczki danych wejściowych, co pozwala atakującym na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwych skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako średniego ryzyka, zwłaszcza jeśli użytkownicy mogą być nakłonieni do kliknięcia spreparowanych linków.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Comment Genius i ich wdrożenie. W przypadku braku łatki, ogranicz ekspozycję wtyczki, monitoruj logi pod kątem podejrzanych żądań oraz edukuj użytkowników, aby nie klikali na nieznane linki. Priorytetyzuj działania zabezpieczające w oparciu o ryzyko i profil użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference