Analityczne wykorzystywanie plików cookies
WPMK Block dla WordPress narażony na atak Stored Cross-Site Scripting (CVE-2026-4125)
WPMK Block dla WordPress do wersji 1.0.1 ma lukę Stored XSS umożliwiającą ataki przez atrybut 'class' shortcode. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 20.99%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WPMK Block dla WordPress w wersjach do 1.0.1 włącznie posiada lukę Stored Cross-Site Scripting (XSS) poprzez atrybut shortcode 'class'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania zainfekowanej strony.
Wpływ biznesowy
Luka umożliwia uwierzytelnionym użytkownikom z uprawnieniami Contributor i wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy IT powinni zwrócić uwagę na potencjalne ryzyko związane z bezpieczeństwem stron opartych na WordPress z tą wtyczką.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WPMK Block u jej dostawcy. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Priorytetem jest aktualizacja lub usunięcie podatnej wersji wtyczki.