CVE-2026-2281: Stored Cross-Site Scripting w wtyczce Private Comment dla WordPress

Co wiadomo

Wtyczka Private Comment dla WordPress w wersjach do 0.0.4 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez ustawienie 'Label text'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może umożliwić administratorom złośliwe wstrzyknięcie kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników lub innych działań szkodliwych dla użytkowników i infrastruktury. Zagrożenie dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Wpływ na biznes obejmuje ryzyko naruszenia bezpieczeństwa danych i reputacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Private Comment i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp administratorów oraz monitorować logi pod kątem podejrzanej aktywności. Warto również rozważyć tymczasowe wyłączenie wtyczki na instalacjach multisite oraz weryfikować ustawienia unfiltered_html.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference