CVE-2026-5293: Stored XSS wtyczki Diagnosis Generator dla WordPress

Co wiadomo

Wtyczka Diagnosis Generator do WordPress w wersjach do 1.4.16 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'js'. Brak odpowiednich kontroli uprawnień i niewystarczająca sanitacja danych pozwalają uwierzytelnionym użytkownikom na zapis złośliwego kodu JavaScript w plikach motywu.

Wpływ biznesowy

Atakujący z poziomem subskrybenta lub wyższym mogą wstrzyknąć złośliwy skrypt, który będzie wykonywany przy każdym wyświetleniu strony z formularzem diagnozy. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Diagnosis Generator i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji aktualizacji motywu tylko do zaufanych użytkowników, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne monitorowanie i audyt uprawnień użytkowników jest również wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference