CVE-2026-57857: Reflected XSS w wtyczce Flow Payment dla WordPress

Co wiadomo

Wtyczka Flow Payment 3.0.8 dla WordPress jest podatna na atak reflected cross-site scripting (XSS) na stronie realizacji zamówienia WooCommerce. Nieprawidłowe przetwarzanie parametru error_message pozwala na wykonanie złośliwego kodu JavaScript w przeglądarce użytkownika.

Wpływ biznesowy

Atakujący może wykorzystać tę lukę do wykonania złośliwego skryptu w kontekście strony WordPress, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i właścicieli sklepu. Luka ma średni poziom ryzyka, ale wymaga uwagi ze względu na potencjalne skutki dla bezpieczeństwa klientów i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Flow Payment i jej instalację. W międzyczasie warto ograniczyć ekspozycję strony checkout, monitorować logi pod kątem podejrzanych żądań zawierających parametr error_message oraz rozważyć wdrożenie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference