CVE-2026-2432: Wrażliwość Stored XSS w wtyczce CM Custom Reports dla WordPress

Co wiadomo

Wtyczka CM Custom Reports do WordPressa w wersjach do 1.2.7 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez ustawienia administratora. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtrację unfiltered_html, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do przejęcia sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i integralności serwisu. Zagrożenie dotyczy głównie środowisk multisite i wymaga uwagi właścicieli takich instalacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki CM Custom Reports i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia administratorów, zweryfikować konfigurację unfiltered_html oraz monitorować logi pod kątem podejrzanych działań. Warto również rozważyć ograniczenie dostępu do panelu administracyjnego i przeprowadzenie audytu bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference