CVE-2026-5357: Stored Cross-Site Scripting w wtyczce Download Manager dla WordPress

Co wiadomo

Wtyczka Download Manager dla WordPress do wersji 3.3.52 jest podatna na atak Stored Cross-Site Scripting poprzez parametr 'sid' w shortcode 'wpdm_members'. Problem wynika z niewystarczającej sanitizacji i ucieczki danych wejściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu WordPress oraz jego użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Download Manager i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji wymagających uprawnień współtwórcy i wyższych, przejrzeć logi pod kątem podejrzanej aktywności oraz monitorować system pod kątem nietypowych zachowań. Warto także rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference