CVE-2026-4075: BWL Advanced FAQ Manager Lite dla WordPress - podatność Stored XSS

Co wiadomo

Wtyczka BWL Advanced FAQ Manager Lite dla WordPress do wersji 1.1.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'baf_sbox'. Problem wynika z niewystarczającej sanitacji i eskapowania atrybutów shortcode, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie Kontrybutora.

Wpływ biznesowy

Podatność pozwala atakującym z dostępem na poziomie Kontrybutora lub wyższym na trwałe wstrzyknięcie złośliwego kodu JavaScript, który będzie wykonywany przez każdego odwiedzającego zainfekowaną stronę. Może to prowadzić do kradzieży sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny oraz jej użytkowników.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować, czy używają wtyczki BWL Advanced FAQ Manager Lite w wersji do 1.1.1 i niezwłocznie zaktualizować ją do najnowszej dostępnej wersji. W przypadku braku aktualizacji zaleca się ograniczenie dostępu do poziomu Kontrybutora i wyżej, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie witryny pod kątem nietypowych zachowań. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference