Analityczne wykorzystywanie plików cookies
CVE-2026-3368: Stored Cross-Site Scripting w wtyczce Injection Guard dla WordPress
Wtyczka Injection Guard do WordPress ma lukę XSS umożliwiającą ataki przez złośliwe parametry zapytania. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 7.2 HIGH
- EPSS
- 24.44%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Injection Guard dla WordPress do wersji 1.2.9 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez złośliwe nazwy parametrów zapytania. Luka wynika z niewystarczającej sanitacji kluczy tablic w funkcji sanitize_ig_data() oraz braku odpowiedniego escapingu podczas wyświetlania danych w panelu administracyjnym.
Wpływ biznesowy
Atakujący bez uwierzytelnienia mogą wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany w przeglądarce administratora podczas przeglądania logów wtyczki. Może to prowadzić do przejęcia sesji, eskalacji uprawnień lub innych działań szkodliwych dla bezpieczeństwa systemu WordPress i jego użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Injection Guard i jej instalację. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych wpisów oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa i edukować administratorów w zakresie rozpoznawania potencjalnych ataków XSS.