Analityczne wykorzystywanie plików cookies
CVE-2026-2499: Stored Cross-Site Scripting w wtyczce Custom Logo dla WordPress
Podatność Stored XSS w wtyczce Custom Logo do WordPress do wersji 2.2. Zalecane aktualizacje i monitorowanie multisite oraz konfiguracji unfiltered_html.
- CVSS
- 4.4 MEDIUM
- EPSS
- 9.29%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Custom Logo dla WordPress do wersji 2.2 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) w ustawieniach administratora z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność ta dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Może prowadzić do wykonania nieautoryzowanego kodu w przeglądarce administratorów i użytkowników, co zagraża integralności i bezpieczeństwu witryny. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko eskalacji uprawnień i wycieku danych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Custom Logo i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administratora, zweryfikować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Należy również monitorować instalacje multisite i konfiguracje z wyłączonym unfiltered_html.