CVE-2026-1985: Stored Cross-Site Scripting w wtyczce Press3D dla WordPress

Co wiadomo

Wtyczka Press3D dla WordPress do wersji 1.0.2 zawiera lukę typu Stored Cross-Site Scripting w bloku 3D Model Gutenberg. Luka wynika z braku odpowiedniej walidacji i sanitacji adresów URL, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami autora i wyższymi.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się po kliknięciu w model 3D na stronie. Może to prowadzić do przejęcia sesji, deface'u strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie dotyczy wszystkich instalacji korzystających z podatnej wersji wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Press3D i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie bloku 3D Model. Warto również przeprowadzić przegląd i walidację wszystkich linków w treściach 3D.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference