CVE-2026-4665: WP Carousel Free narażony na trwały Cross-Site Scripting

Co wiadomo

Wtyczka WP Carousel Free dla WordPress do wersji 2.7.10 umożliwia trwały Cross-Site Scripting poprzez nieprawidłowo obsługiwane atrybuty data-caption w fancybox. Atakujący z uprawnieniami Contributor może wstrzyknąć złośliwy kod wykonywany po kliknięciu obrazu w karuzeli.

Wpływ biznesowy

Ta luka pozwala na wstrzyknięcie i wykonanie złośliwych skryptów w kontekście witryny, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy CMS powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o uprawnieniach Contributor i wyższych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Carousel Free i jej instalację. W międzyczasie ogranicz dostęp do edycji treści użytkownikom z uprawnieniami Contributor lub wyższymi, przeglądaj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference