CVE-2026-3907: Stored Cross-Site Scripting w wtyczce Hostel dla WordPress

Co wiadomo

Wtyczka Hostel dla WordPress do wersji 1.1.7 jest podatna na atak Stored Cross-Site Scripting poprzez shortcode 'wphostel-book'. Problem wynika z braku odpowiedniej sanitizacji i escapingu atrybutów shortcode, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami Contributor i wyższymi.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Hostel u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji shortcode dla użytkowników z uprawnieniami Contributor i wyższymi, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference