CVE-2026-3348: Stored Cross-Site Scripting w wtyczce MinhNhut Link Gateway dla WordPress

Co wiadomo

Wtyczka MinhNhut Link Gateway dla WordPress do wersji 3.6.1 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez pola ustawień, takie jak Opis czy Tytuł, z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atak wymaga uprawnień administratora i dotyczy tylko instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami administratora wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin strony przekierowania przez użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i integralności serwisu. Zagrożenie dotyczy specyficznych konfiguracji WordPress, co ogranicza jego zasięg, jednak wymaga uwagi właścicieli multisite i środowisk z wyłączonym unfiltered_html.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować wersję wtyczki MinhNhut Link Gateway i rozważyć aktualizację do nowszej wersji po jej wydaniu przez producenta. W międzyczasie zaleca się ograniczenie dostępu do panelu administracyjnego, szczególnie w środowiskach multisite, oraz monitorowanie logów pod kątem podejrzanej aktywności. Warto także rozważyć ponowne włączenie filtru unfiltered_html, jeśli to możliwe, aby zmniejszyć ryzyko wykorzystania podatności.

Źródła

• NVD
• Reference
• Reference
• Reference