CVE-2026-1902: Wtyczka Hammas Calendar dla WordPress podatna na Stored XSS

Co wiadomo

Wtyczka Hammas Calendar dla WordPress do wersji 1.5.11 włącznie ma lukę Stored Cross-Site Scripting (XSS) w parametrze 'apix' w shortcode 'hp-calendar-manage-redirect'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, umożliwiając atakującym z uprawnieniami co najmniej Contributor wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem Contributor lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony, co może prowadzić do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników i administratorów. Wpływa to na bezpieczeństwo witryny i może naruszać zaufanie użytkowników oraz powodować szkody reputacyjne.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Hammas Calendar i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić przegląd zabezpieczeń i edukację użytkowników z uprawnieniami Contributor i wyższymi.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference