CVE-2026-1823: Stored Cross-Site Scripting w wtyczce Consensus Embed dla WordPress

Co wiadomo

Wtyczka Consensus Embed dla WordPress do wersji 1.6 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode consensus. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do przejęcia sesji użytkowników, defacementu stron lub innych działań szkodliwych dla reputacji i bezpieczeństwa serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference