CVE-2026-1893: Stored Cross-Site Scripting w wtyczce Orbisius Random Name Generator dla WordPress

Co wiadomo

Wtyczka Orbisius Random Name Generator dla WordPress do wersji 1.0.2 zawiera lukę typu Stored Cross-Site Scripting w parametrze 'btn_label' shortcode'u 'orbisius_random_name_generator'. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie Współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie Współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzin zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny oraz jej użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki do wersji po 1.0.2, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanych działań. Warto także rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających, takich jak Web Application Firewall oraz przegląd i oczyszczenie istniejących treści pod kątem złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference