CVE-2026-2367: podatność Stored XSS w wtyczce Secure Copy Content Protection dla WordPress

Co wiadomo

Wtyczka Secure Copy Content Protection i Content Locking dla WordPress do wersji 5.0.1 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'ays_block' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta pozwala na trwałe wstrzyknięcie złośliwego kodu JavaScript w treść stron WordPress, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub dalszych ataków na użytkowników. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę poważnie, zwłaszcza jeśli dostęp do panelu mają użytkownicy z uprawnieniami współtwórcy lub wyższymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Secure Copy Content Protection i Content Locking u jej dostawcy oraz ich wdrożenie. W przypadku braku aktualizacji należy ograniczyć dostęp użytkowników do poziomu niepozwalającego na wstawianie shortcode'ów oraz monitorować logi pod kątem podejrzanych działań. Warto również przeprowadzić audyt zawartości stron pod kątem obecności nieautoryzowanych skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference