CVE-2026-7650: E2Pdf WordPress Plugin podatny na Stored Cross-Site Scripting

Co wiadomo

Wtyczka E2Pdf – Export Pdf Tool dla WordPress do wersji 1.32.17 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez atrybut 'id' shortcode 'e2pdf-download'. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala użytkownikom z uprawnieniami Contributor i wyższymi na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację serwisu oraz bezpieczeństwo danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki E2Pdf i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji shortcode 'e2pdf-download'.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference