CVE-2026-6287: Luka XSS w wtyczce ShopLentor WooCommerce Builder dla WordPress

Co wiadomo

Wtyczka ShopLentor WooCommerce Builder dla Elementor i Gutenberg w wersjach do 3.3.8 zawiera lukę typu Stored Cross-Site Scripting (XSS) w atrybucie 'blockUniqId' bloków Product Grid. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych, co umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie dotyczy właścicieli stron WordPress korzystających z tej wtyczki w wersjach do 3.3.8.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ShopLentor WooCommerce Builder i jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, przejrzeć logi pod kątem podejrzanej aktywności oraz monitorować strony pod kątem nieautoryzowanych zmian. Wdrożenie mechanizmów zabezpieczających przed XSS również jest wskazane.

Źródła

• NVD
• Reference
• Reference