CVE-2026-4811: Wrażliwość Stored XSS w wtyczce WPB Floating Menu & Categories dla WordPress

Co wiadomo

Wtyczka WPB Floating Menu & Categories dla WordPress do wersji 1.0.8 zawiera lukę Stored Cross-Site Scripting (XSS) w polu 'Icon CSS Class' kategorii, umożliwiającą atakującym z uprawnieniami edytora lub wyższymi wstrzyknięcie złośliwego kodu. Luka wynika z niewystarczającej sanitacji i escapowania danych wejściowych.

Wpływ biznesowy

Atakujący z uprawnieniami edytora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania zainfekowanych stron, co może prowadzić do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników i infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji edytorskich wyłącznie do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie mechanizmów zapobiegania XSS, takich jak Web Application Firewall. Priorytetowo należy ocenić ekspozycję wtyczki i ryzyko dla środowiska.

Źródła

• NVD
• Reference
• Reference