CVE-2026-2277: podatność XSS w wtyczce rexCrawler dla WordPress

Co wiadomo

Wtyczka rexCrawler dla WordPress do wersji 1.0.15 jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametry 'url' i 'regex' na stronie testera wzorców wyszukiwania. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwe skrypty, które wykonują się po nakłonieniu administratora do kliknięcia w spreparowany link. Zagrożenie dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html, co może prowadzić do przejęcia sesji lub innych działań na koncie administratora.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki rexCrawler i jej instalację. W międzyczasie ogranicz dostęp do strony testera wzorców oraz monitoruj logi pod kątem podejrzanych działań. Warto również rozważyć przywrócenie filtrowania unfiltered_html, jeśli jest wyłączone, oraz edukować administratorów w zakresie unikania klikania w podejrzane linki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference