CVE-2026-6041: podatność Stored XSS w wtyczce Buzz Comments dla WordPress

Co wiadomo

Wtyczka Buzz Comments dla WordPress do wersji 0.9.4 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez ustawienie 'Custom Buzz Avatar'. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania strony ustawień wtyczki.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami administratora wstrzyknięcie i wykonanie złośliwego kodu JavaScript w panelu administracyjnym WordPress. Może to prowadzić do przejęcia sesji, modyfikacji ustawień lub innych działań na poziomie administratora, co zagraża integralności i bezpieczeństwu witryny oraz danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Buzz Comments u jej dostawcy i wdrożenie poprawek. W międzyczasie ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ audyt konfiguracji i uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference