Analityczne wykorzystywanie plików cookies
CVE-2026-1922: Wrażliwość Stored XSS w wtyczce The Events Calendar Shortcode & Block dla WordPress
Wtyczka WordPress The Events Calendar Shortcode & Block do 3.1.2 ma podatność Stored XSS umożliwiającą wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 15.85%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka The Events Calendar Shortcode & Block dla WordPress do wersji 3.1.2 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybut 'message' shortcode'u 'ecs-list-events'. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu strony.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, defacementu strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron WordPress korzystający z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki The Events Calendar Shortcode & Block i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode'u 'ecs-list-events' do czasu usunięcia podatności.