CVE-2026-2384: Wtyczka Quiz Maker dla WordPress narażona na atak Stored XSS

Co wiadomo

Wtyczka Quiz Maker dla WordPress do wersji 6.7.1.7 włącznie posiada lukę Stored Cross-Site Scripting (XSS) w shortcode 'vc_quizmaker' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Wymaga to obecności i aktywności WPBakery Page Builder, co ogranicza zasięg ataku, ale nadal stanowi istotne zagrożenie dla witryn wykorzystujących te komponenty.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować, czy korzystają z wtyczki Quiz Maker w wersji do 6.7.1.7 oraz czy aktywny jest WPBakery Page Builder. Zaleca się aktualizację wtyczek do najnowszych wersji udostępnionych przez producenta. W przypadku braku dostępnej poprawki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'vc_quizmaker'.

Źródła

• NVD
• Reference
• Reference
• Reference