CVE-2026-4089: Stored Cross-Site Scripting w wtyczce Twittee Text Tweet dla WordPress

Co wiadomo

Wtyczka Twittee Text Tweet dla WordPress do wersji 1.0.8 jest podatna na atak Stored Cross-Site Scripting (XSS) przez niewłaściwą sanitację i eskapowanie atrybutu shortcode 'id'. Atakujący z uprawnieniami co najmniej Contributor mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin strony.

Wpływ biznesowy

Podatność umożliwia atakującym wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Twittee Text Tweet i ich instalację. W przypadku braku łatki, ograniczyć dostęp użytkowników do poziomu Contributor i wyżej oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć zastosowanie mechanizmów zapobiegania XSS oraz przegląd i ograniczenie uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference