CVE-2026-4333: Stored Cross-Site Scripting w wtyczce LearnPress dla WordPress

Co wiadomo

Wtyczka LearnPress dla WordPress do wersji 4.3.3 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybut 'skin' shortcode'u learn_press_courses. Niedostateczne filtrowanie i brak odpowiedniego escapingu pozwalają na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie Współpracownika.

Wpływ biznesowy

Atakujący z dostępem na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań naruszających bezpieczeństwo i integralność witryny. W efekcie może ucierpieć reputacja firmy oraz bezpieczeństwo danych klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki LearnPress i ich instalację. W przypadku braku łatki, ograniczenie dostępu do poziomu Współpracownika oraz wyższych, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie witryny pod kątem nietypowych zachowań. Warto także rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference