CVE-2026-2718: Stored XSS w wtyczce Dealia – Request a Quote dla WordPress

Co wiadomo

Wtyczka Dealia – Request a Quote dla WordPress do wersji 1.0.8 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez atrybuty bloków Gutenberg. Luka wynika z niewłaściwego użycia funkcji wp_kses() zamiast esc_attr() do zabezpieczania danych wyjściowych w kontekście atrybutów HTML.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp użytkowników do poziomu współtwórcy i wyższego oraz monitoruj logi pod kątem podejrzanej aktywności. Warto także przeprowadzić audyt bezpieczeństwa stron korzystających z tej wtyczki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference