CVE-2026-3353: Luka XSS w wtyczce Comment SPAM Wiper dla WordPress

Co wiadomo

Wtyczka Comment SPAM Wiper do WordPressa w wersjach do 1.2.1 włącznie zawiera lukę typu Stored Cross-Site Scripting w ustawieniu 'API Key'. Luka wynika z niewystarczającej sanitacji danych i umożliwia administratorom wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Luka dotyczy instalacji WordPressa w trybie multi-site oraz tam, gdzie wyłączono filtrację unfiltered_html. Atakujący z uprawnieniami administratora mogą wstrzykiwać skrypty, co może prowadzić do kradzieży danych sesji lub manipulacji treścią. Operatorzy powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataków i utraty integralności witryny.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Comment SPAM Wiper do wersji po 1.2.1, jeśli dostępna. W przypadku braku aktualizacji należy ograniczyć dostęp administratorów oraz monitorować logi pod kątem podejrzanych działań. Warto także zweryfikować konfigurację multi-site i ustawienia filtrowania HTML, aby zminimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference
• Reference