CVE-2026-4074: Stored Cross-Site Scripting w wtyczce Quran Live Multilanguage dla WordPress

Co wiadomo

Wtyczka Quran Live Multilanguage dla WordPress do wersji 1.0.3 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybuty shortcode 'cheikh' i 'lang'. Problem wynika z niewystarczającej sanitacji i eskapowania danych wejściowych, co pozwala na wstrzyknięcie złośliwego kodu JavaScript.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzin zainfekowanych stron przez użytkowników. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do funkcji shortcode dla użytkowników o niskich uprawnieniach, monitorować logi serwera pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i eskapowania danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference