WP Games Embed dla WordPress podatny na trwały Cross-Site Scripting (CVE-2026-3996)

Co wiadomo

Wtyczka WP Games Embed dla WordPress w wersjach do 0.1beta włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez shortcode [game]. Niewystarczająca sanitacja i brak odpowiedniego escapingu atrybutów shortcode umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej Contributor.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i administratorów serwisu. Zagrożenie dotyczy właścicieli stron korzystających z tej wtyczki, zwłaszcza jeśli umożliwiają dostęp Contributorom.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Games Embed i ich instalację. W przypadku braku łatki należy ograniczyć dostęp Contributorów lub wyższych oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć tymczasowe wyłączenie shortcode [game] do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference