CVE-2026-2288: podatność Stored Cross-Site Scripting w wtyczce myLinksDump dla WordPress

Co wiadomo

Wtyczka myLinksDump dla WordPress do wersji 1.6 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez parametr 'link_title' z powodu niewystarczającej sanitacji i eskapowania danych wejściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta dotyczy instalacji WordPress w trybie multi-site oraz tam, gdzie opcja unfiltered_html jest wyłączona. Może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko eskalacji uprawnień i utraty kontroli nad stroną.

Rekomendowane działania administratora

Zaleca się przejrzenie dostępnych aktualizacji wtyczki myLinksDump i ich wdrożenie, jeśli są dostępne. W przypadku braku łatki należy ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki na instalacjach multi-site. Warto również zweryfikować ustawienia unfiltered_html i rozważyć ich dostosowanie.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference