CVE-2026-6293: Wrażliwość CSRF prowadząca do Stored XSS w wtyczce Inquiry Form to Posts or Pages dla WordPress

Co wiadomo

Wtyczka Inquiry Form to Posts or Pages w wersji 1.0 dla WordPress jest podatna na atak Cross-Site Request Forgery (CSRF), który umożliwia przeprowadzenie Stored Cross-Site Scripting (XSS). Problem wynika z braku walidacji nonce podczas aktualizacji ustawień oraz niewystarczającej sanitacji i eskalacji danych wejściowych i wyjściowych.

Wpływ biznesowy

Atakujący może wykorzystać tę lukę, aby wstrzyknąć złośliwy kod JavaScript, który zostanie zapisany i wykonany w kontekście przeglądarki administratora WordPressa. Może to prowadzić do przejęcia sesji, eskalacji uprawnień lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Właściciele stron powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa panelu administracyjnego.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych żądań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed CSRF i XSS. Priorytetem jest weryfikacja i poprawa walidacji oraz sanitacji danych w konfiguracji wtyczki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference