WP Docs do WordPress podatny na Stored Cross-Site Scripting (CVE-2026-3878)

Co wiadomo

Wtyczka WP Docs dla WordPressa do wersji 2.2.9 włącznie zawiera lukę Stored Cross-Site Scripting w parametrze 'wpdocs_options[icon_size]'. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków, umożliwiając uwierzytelnionym użytkownikom z poziomem subskrybenta lub wyższym wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem subskrybenta mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i właścicieli witryny. Zagrożenie to wpływa na bezpieczeństwo i integralność stron opartych na WordPress z zainstalowaną podatną wersją wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Docs i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa i edukować użytkowników o potencjalnych zagrożeniach.

Źródła

• NVD
• Reference
• Reference