CVE-2026-5077: Stored Cross-Site Scripting w motywie Total dla WordPress

Co wiadomo

Motyw Total dla WordPress w wersjach do 2.2.1 włącznie jest podatny na atak Stored Cross-Site Scripting (XSS) poprzez tytuły postów. Luka wynika z niewystarczającego zabezpieczenia wyjścia podczas renderowania the_title() w kontekście atrybutu HTML na stronie głównej bloga.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współautora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony przez użytkowników. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się aktualizację motywu Total do najnowszej wersji udostępnionej przez producenta, która eliminuje tę lukę. W przypadku braku dostępnej poprawki, ogranicz dostęp do publikowania postów użytkownikom z uprawnieniami współautora i wyższymi, monitoruj logi pod kątem podejrzanych działań oraz rozważ tymczasowe wyłączenie wyświetlania wyróżnionych obrazów na stronie głównej bloga.

Źródła

• NVD
• Reference
• Reference