CVE-2026-3875: podatność Stored Cross-Site Scripting w wtyczce BetterDocs dla WordPress

Co wiadomo

Wtyczka BetterDocs dla WordPress do wersji 4.3.8 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'betterdocs_feedback_form'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych w atrybutach shortcode, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Atakujący z dostępem na poziomie współpracownika lub wyższym mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki BetterDocs i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanych aktywności oraz monitorować serwis pod kątem nietypowego zachowania. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference