WP Shortcodes Ultimate: podatność XSS w su_box shortcode (CVE-2026-3885)

Co wiadomo

Wtyczka WP Shortcodes Ultimate dla WordPressa do wersji 7.4.9 zawiera podatność typu Stored Cross-Site Scripting w shortcode 'su_box'. Pozwala to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy mogą wstrzykiwać złośliwe skrypty, co może prowadzić do kradzieży danych sesji, manipulacji treścią strony lub dalszych ataków na użytkowników. Zagrożenie to wpływa na bezpieczeństwo witryny i może narazić na utratę zaufania klientów oraz potencjalne problemy prawne.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Shortcodes Ultimate i ich instalację. W międzyczasie ogranicz dostęp użytkowników do poziomu współtwórcy i wyżej, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference