WP Social Meta dla WordPress narażony na przechowywany Cross-Site Scripting (CVE-2026-2498)

Co wiadomo

Wtyczka WP Social Meta dla WordPress do wersji 1.0.1 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki danych wyjściowych. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron przez użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników i infrastrukturę. Zagrożenie dotyczy głównie środowisk multisite i wymaga uwagi właścicieli takich instalacji.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki WP Social Meta do wersji powyżej 1.0.1, jeśli dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp administratorów, zweryfikować konfigurację multisite oraz ustawienia unfiltered_html. Dodatkowo warto przeprowadzić przegląd logów pod kątem podejrzanej aktywności i monitorować system pod kątem nietypowych zachowań.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference