CVE-2026-7330: Stored Cross-Site Scripting w wtyczce Auto Affiliate Links dla WordPress

Co wiadomo

Wtyczka Auto Affiliate Links dla WordPress do wersji 6.8.8 jest podatna na atak typu Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia. Atakujący mogą wstrzyknąć złośliwy kod JavaScript, który wykonuje się w przeglądarce administratora podczas przeglądania statystyk.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki administratora WordPress, co może prowadzić do przejęcia sesji, eskalacji uprawnień lub innych działań szkodliwych dla bezpieczeństwa strony. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka, zwłaszcza jeśli wtyczka jest aktywna i dostępna publicznie.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Auto Affiliate Links i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych żądań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa i edukować administratorów o potencjalnych zagrożeniach XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference