CVE-2026-2374: Stored Cross-Site Scripting w Login No Captcha reCAPTCHA dla WordPress

Co wiadomo

Wtyczka Login No Captcha reCAPTCHA dla WordPress do wersji 1.8.0 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez niewłaściwe przetwarzanie zmiennej $_SERVER['PHP_SELF']. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w panelu administratora, jeśli odwiedzi go użytkownik z uprawnieniami administratora w ciągu 30 sekund od ataku.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwego kodu w panelu administracyjnym WordPress, co może prowadzić do przejęcia kontroli nad witryną lub wycieku danych. Atak wymaga, aby administrator odwiedził panel w krótkim czasie po ataku, co zwiększa ryzyko w środowiskach z wieloma administratorami. W efekcie może to wpłynąć na integralność i bezpieczeństwo infrastruktury IT.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Login No Captcha reCAPTCHA i ich wdrożenie. W międzyczasie ogranicz dostęp do panelu administracyjnego tylko do zaufanych adresów IP oraz monitoruj logi pod kątem podejrzanych aktywności. Przeanalizuj konfigurację wtyczki i rozważ tymczasowe wyłączenie, jeśli aktualizacja nie jest dostępna.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference