WP Travel Engine podatny na przechowywany Cross-Site Scripting (CVE-2026-2437)

Co wiadomo

Wtyczka WP Travel Engine – Tour Booking Plugin dla WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'wte_trip_tax' w wersjach do 6.7.5 włącznie. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzenia zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Może to wpłynąć na bezpieczeństwo danych i zaufanie klientów korzystających z serwisu opartego na WordPress z tą wtyczką.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Travel Engine i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, szczególnie poziomu współtwórcy i wyżej, przeglądać logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych. Priorytetowo traktować monitorowanie i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference