CVE-2026-3618: Stored Cross-Site Scripting w wtyczce Columns by BestWebSoft dla WordPress

Co wiadomo

Wtyczka Columns by BestWebSoft dla WordPress do wersji 1.0.3 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybut 'id' shortcode'u [print_clmns]. Niewystarczająca sanitacja i eskapowanie danych umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej Contributor.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników. Właściciele stron WordPress korzystający z tej wtyczki powinni traktować tę lukę poważnie, zwłaszcza jeśli umożliwiają dostęp Contributorom lub wyższym.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Columns by BestWebSoft i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy i audyty bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania tej luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference