CVE-2026-2305: Wrażliwość Stored XSS w wtyczce AddFunc Head & Footer Code dla WordPress

Co wiadomo

Wtyczka AddFunc Head & Footer Code dla WordPress do wersji 2.3 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez wartości meta postów aFhfc_head_code, aFhfc_body_code oraz aFhfc_footer_code. Podatność wynika z braku sanitizacji i escapingu tych danych, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie Współpracownika.

Wpływ biznesowy

Atakujący z dostępem na poziomie Współpracownika lub wyższym mogą wstrzyknąć złośliwy kod, który zostanie wykonany podczas podglądu lub przeglądania posta przez administratora. Może to prowadzić do przejęcia sesji, eskalacji uprawnień lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko związane z kontrolą dostępu i walidacją danych wtyczek.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki AddFunc Head & Footer Code i ich instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitorować logi pod kątem podejrzanych aktywności. Dodatkowo, należy rozważyć przegląd i oczyszczenie wartości meta postów, a także stosowanie mechanizmów zabezpieczających przed XSS w panelu administracyjnym WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference