CVE-2026-4025: Stored Cross-Site Scripting w wtyczce PrivateContent Free dla WordPress

Co wiadomo

Wtyczka PrivateContent Free dla WordPress do wersji 1.2.0 jest podatna na atak Stored Cross-Site Scripting poprzez atrybut 'align' w shortcode [pc-login-form]. Brak odpowiedniej sanitizacji i escapingu danych umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej Contributor.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont lub innych działań szkodliwych dla użytkowników i właścicieli serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie poprawek. W międzyczasie warto ograniczyć dostęp użytkowników do poziomu Contributor i wyżej oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, rozważ zmniejszenie ekspozycji formularzy korzystających z tego shortcode.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference