CVE-2026-7662: Stored Cross-Site Scripting w wtyczce ePaperFlip Publisher dla WordPress

Co wiadomo

Wtyczka ePaperFlip Publisher dla WordPress do wersji 1 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w atrybucie 'publicationid' shortcode'u 'epaperflip_embed'. Luka wynika z niewystarczającej walidacji i escapingu danych, co pozwala na wstrzyknięcie złośliwego kodu JavaScript.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do edycji treści do zaufanych użytkowników, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie mechanizmów zabezpieczających przed XSS, takich jak Content Security Policy.

Źródła

• NVD
• Reference
• Reference
• Reference