CVE-2026-1666: Reflected XSS w wtyczce Download Manager dla WordPress

Co wiadomo

Wtyczka Download Manager dla WordPress do wersji 3.3.46 jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'redirect_to' w formularzu logowania. Brak odpowiedniej sanitizacji i escapingu danych umożliwia wstrzyknięcie złośliwych skryptów przez nieautoryzowanych atakujących.

Wpływ biznesowy

Podatność ta pozwala atakującym na wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, przekierowań lub innych działań szkodliwych dla użytkowników i właścicieli stron. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Download Manager i jej instalację. W przypadku braku łatki, ogranicz ekspozycję formularza logowania, monitoruj logi pod kątem podejrzanej aktywności oraz edukuj użytkowników o ryzyku kliknięcia w nieznane linki. Priorytetyzuj działania zabezpieczające w środowiskach WordPress wykorzystujących tę wtyczkę.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference