Analityczne wykorzystywanie plików cookies
CVE-2026-2837: Stored Cross-Site Scripting w wtyczce Ricerca dla WordPress
Podatność Stored XSS w wtyczce Ricerca WordPress do wersji 1.1.12. Zalecane aktualizacje i ograniczenia uprawnień administratorów.
- CVSS
- 4.4 MEDIUM
- EPSS
- 4.98%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Ricerca – zaawansowane wyszukiwanie dla WordPress – jest podatna na atak typu Stored Cross-Site Scripting (XSS) w wersjach do 1.1.12 włącznie, z powodu niewystarczającej sanitacji danych wejściowych i braków w zabezpieczeniu wyjścia. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.
Wpływ biznesowy
Podatność ta dotyczy instalacji multi-site oraz tych, gdzie opcja unfiltered_html jest wyłączona. Może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataków wewnętrznych i utraty zaufania użytkowników.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ricerca u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia administratorów, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki w środowiskach multi-site lub tam, gdzie unfiltered_html jest wyłączone. Priorytetem jest szybka reakcja i minimalizacja ekspozycji na atak.