CVE-2026-2027: Stored Cross-Site Scripting w AMP Enhancer dla WordPress

Co wiadomo

Wtyczka AMP Enhancer – Compatibility Layer dla Official AMP Plugin for WordPress jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez ustawienie AMP Custom CSS w wersjach do 1.0.49 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala administratorom na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami administratora w środowiskach multi-site lub tam, gdzie wyłączono unfiltered_html, wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki AMP Enhancer i jej instalację. W międzyczasie ograniczyć dostęp administratorów, zweryfikować konfigurację multi-site oraz ustawienia unfiltered_html. Monitorować logi pod kątem podejrzanych działań i rozważyć wdrożenie dodatkowych mechanizmów filtrowania i ochrony przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference