CVE-2026-4161: Stored Cross-Site Scripting w wtyczce Review Map by RevuKangaroo dla WordPress

Co wiadomo

Wtyczka Review Map by RevuKangaroo dla WordPress do wersji 1.7 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez ustawienia wtyczki. Luka dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala administratorom na wstrzyknięcie i wykonanie złośliwych skryptów w panelu WordPress, co może prowadzić do przejęcia sesji użytkowników lub modyfikacji zawartości stron. Atak wymaga uprawnień administratora i dotyczy głównie środowisk multisite lub z wyłączonym filtrem unfiltered_html, co ogranicza zakres zagrożenia, ale nadal stanowi istotne ryzyko dla właścicieli takich instalacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Review Map by RevuKangaroo i jej instalację. W przypadku braku łatki należy ograniczyć dostęp administratorów oraz rozważyć ponowne włączenie filtra unfiltered_html. Dodatkowo warto przejrzeć logi pod kątem podejrzanej aktywności i monitorować system pod kątem nietypowych zachowań.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference