CVE-2026-4389: podatność XSS w wtyczce DSGVO snippet for Leaflet Map and its Extensions dla WordPress

Co wiadomo

Wtyczka DSGVO snippet for Leaflet Map and its Extensions do WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode'y leafext-cookie-time i leafext-delete-cookie we wszystkich wersjach do 3.1 włącznie. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach unset, before i after, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i infrastrukturę IT. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować dostępność aktualizacji wtyczki u jej dostawcy i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do minimum, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie stron pod kątem nieautoryzowanych zmian. Dodatkowo warto rozważyć wdrożenie mechanizmów ochrony przed XSS, takich jak Content Security Policy (CSP).

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference