CVE-2026-2721: MailArchiver dla WordPress podatny na Stored XSS w ustawieniach administratora

Co wiadomo

Wtyczka MailArchiver dla WordPress do wersji 4.4.0 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) w ustawieniach administratora, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zmodyfikowanych stron, co może prowadzić do przejęcia sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i infrastruktury. Zagrożenie dotyczy głównie środowisk multisite i instalacji z wyłączonym filtrem unfiltered_html, co wymaga szczególnej uwagi operatorów IT.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki MailArchiver do wersji powyżej 4.4.0, jeśli dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp administratorów, zweryfikować i oczyścić ustawienia wtyczki, a także monitorować logi pod kątem podejrzanych działań. Dodatkowo warto rozważyć ponowne włączenie filtra unfiltered_html oraz ograniczyć instalacje multisite, jeśli nie są niezbędne.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference