CVE-2026-4512: Wstrzyknięcie JavaScript w wtyczce reCaptcha dla WordPress

Co wiadomo

Wtyczka reCaptcha by WebDesignBy dla WordPress w wersjach przed 2.0 nie oczyszcza poprawnie ustawienia Site Key przed umieszczeniem go w kontekście JavaScript, co umożliwia administratorom multisite wstrzyknięcie dowolnego kodu JS na stronie logowania.

Wpływ biznesowy

Atakujący z uprawnieniami administratora na instalacjach multisite, nawet bez pełnych uprawnień unfiltered_html, mogą wstrzykiwać i wykonywać złośliwy kod JavaScript dla wszystkich odwiedzających stronę logowania WordPress. Może to prowadzić do kradzieży danych uwierzytelniających lub innych działań szkodliwych dla bezpieczeństwa użytkowników i infrastruktury.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki reCaptcha by WebDesignBy do wersji 2.0 lub nowszej. W przypadku braku możliwości aktualizacji, ogranicz dostęp administratorów multisite oraz monitoruj logi pod kątem podejrzanej aktywności. Przeglądaj konfigurację multisite i rozważ tymczasowe wyłączenie wtyczki, aby zminimalizować ryzyko.

Źródła

• NVD
• Reference