CVE-2026-3998: Stored XSS w wtyczce WM JqMath dla WordPress

Co wiadomo

Wtyczka WM JqMath dla WordPress do wersji 1.3 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez atrybut 'style' shortcode [jqmath]. Brak odpowiedniej sanitizacji i escapingu danych wejściowych pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej Contributor.

Wpływ biznesowy

Atakujący z dostępem Contributor lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników i infrastrukturę. Może to narazić organizację na utratę danych, reputacji oraz zwiększone ryzyko naruszeń bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WM JqMath u dostawcy oraz ich wdrożenie. W międzyczasie ograniczyć dostęp użytkowników do poziomu Contributor i wyższego, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference