CVE-2026-4005: podatność Stored XSS w wtyczce Coachific Shortcode dla WordPress

Co wiadomo

Wtyczka Coachific Shortcode dla WordPress do wersji 1.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybut shortcode 'userhash'. Problem wynika z niewystarczającej sanitacji i eskapowania danych wejściowych, co pozwala na wstrzyknięcie złośliwych skryptów JavaScript.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonają się na stronach odwiedzanych przez użytkowników. Może to prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i reputacji serwisu. Właściciele stron powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Coachific Shortcode u jej dostawcy. W przypadku braku łatki należy ograniczyć dostęp do funkcji shortcode 'userhash' lub monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd i wzmocnienie mechanizmów sanitacji i eskapowania danych wejściowych w aplikacji.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference