Analityczne wykorzystywanie plików cookies
CVE-2026-2509: Wrażliwość Stored XSS w wtyczce Page Builder: Pagelayer dla WordPress
Wtyczka Page Builder: Pagelayer do WordPress ma lukę Stored XSS umożliwiającą wstrzyknięcie skryptów przez użytkowników Contributor i wyższych. Zalecane aktualizacje i monitorowanie.
- CVSS
- 6.4 MEDIUM
- EPSS
- 26.97%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Page Builder: Pagelayer dla WordPress do wersji 2.0.8 jest podatna na atak Stored Cross-Site Scripting poprzez pole Custom Attributes w widżecie Button. Luka wynika z niepełnej blokady obsługi zdarzeń w funkcji filtrującej XSS, co pozwala uwierzytelnionym użytkownikom z uprawnieniami Contributor i wyższymi na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z dostępem na poziomie Contributor mogą wstrzykiwać złośliwe skrypty, które wykonają się u każdego użytkownika odwiedzającego zmodyfikowaną stronę. Może to prowadzić do kradzieży sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo witryny i danych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowych.