CVE-2026-1886: Luka XSS w wtyczce Go Night Pro dla WordPress

Co wiadomo

Wtyczka Go Night Pro | WordPress Dark Mode dla WordPress do wersji 1.1.0 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'go-night-pro-shortcode' z powodu niewystarczającej sanitacji i ucieczki danych w atrybucie 'margin'. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin strony przez użytkowników.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych ataków na użytkowników. Może to obniżyć zaufanie do serwisu oraz narazić na ryzyko dane użytkowników i integralność witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Go Night Pro i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanej aktywności oraz monitorować witrynę pod kątem nietypowych zachowań. Warto również rozważyć tymczasowe wyłączenie wtyczki do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference