CVE-2026-4081: ZeM STL plugin WordPress podatny na Stored Cross-Site Scripting

Co wiadomo

Wtyczka ZeM STL dla WordPressa do wersji 1.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode [zemstl]. Problem wynika z braku odpowiedniej sanitizacji i escapingu atrybutów shortcode, takich jak 'url', 'color' i 'bgcolor', co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej Contributor.

Wpływ biznesowy

Atakujący z dostępem Contributor lub wyższym mogą wstrzykiwać złośliwe skrypty, które będą wykonywane przez odwiedzających strony, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ZeM STL u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi serwera pod kątem podejrzanych aktywności związanych z shortcode [zemstl]. Warto również rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe, aby zminimalizować ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference