CVE-2026-3362: Stored Cross-Site Scripting w wtyczce Short Comment Filter dla WordPress

Co wiadomo

Wtyczka Short Comment Filter dla WordPress do wersji 2.2 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez pole ustawień 'Minimum Count'. Problem wynika z braku odpowiedniej sanitacji danych wejściowych i braku escapingu danych wyjściowych, co pozwala administratorom na wstrzyknięcie złośliwych skryptów na stronie ustawień.

Wpływ biznesowy

Atakujący z uprawnieniami administratora mogą wstrzykiwać i wykonywać złośliwe skrypty w kontekście panelu administracyjnego WordPress, co może prowadzić do przejęcia kontroli nad stroną lub eskalacji uprawnień. Szczególnie narażone są instalacje multisite oraz środowiska z ustawioną stałą DISALLOW_UNFILTERED_HTML, gdzie ograniczone są możliwości wprowadzania nieprzefiltrowanego HTML przez administratorów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Short Comment Filter i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego wyłącznie do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych działań. Warto również rozważyć audyt uprawnień administratorów i zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference