CVE-2026-6910: podatność Stored XSS w wtyczce Bookero.pl dla WordPress

Co wiadomo

Wtyczka Bookero.pl do WordPressa w wersjach do 2.2 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybuty shortcode `hide_products` i `filter_products`. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala na wstrzyknięcie złośliwego kodu JavaScript przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego skryptu, który wykonuje się u każdego użytkownika odwiedzającego zainfekowaną stronę. Może to prowadzić do kradzieży sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Właściciele stron powinni zwrócić uwagę na potencjalne ryzyko związane z dostępem użytkowników i zabezpieczeniem wtyczek.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Bookero.pl i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji shortcode `bookero_products`. Warto także monitorować oficjalne komunikaty producenta wtyczki i stosować ogólne zasady bezpieczeństwa WordPressa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference