CVE-2026-1943: Stored Cross-Site Scripting w wtyczce YayMail – WooCommerce Email Customizer

Co wiadomo

Wtyczka YayMail – WooCommerce Email Customizer dla WordPressa do wersji 4.3.2 jest podatna na atak Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu. Atakujący z uprawnieniami Shop Manager i wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność ta dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Może prowadzić do wykonania nieautoryzowanego kodu w kontekście użytkownika, co zagraża bezpieczeństwu danych i integralności sklepu internetowego. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko eskalacji uprawnień i utraty kontroli nad zawartością witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji unfiltered_html, jeśli to możliwe. Priorytetem jest szybka reakcja i minimalizacja ekspozycji na atak.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference