Analityczne wykorzystywanie plików cookies
CVE-2026-7795: Stored Cross-Site Scripting w wtyczce Click to Chat – WA Widget dla WordPress
Wtyczka Click to Chat – WA Widget dla WordPress do wersji 4.38 ma podatność XSS umożliwiającą wstrzyknięcie złośliwego kodu przez parametr shortcode 'num'.
- CVSS
- 6.4 MEDIUM
- EPSS
- 33.31%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Click to Chat – WA Widget dla WordPress do wersji 4.38 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'num' shortcode [chat]. Problem wynika z niewystarczającego zabezpieczenia wartości parametru w kontekście JavaScript w atrybutach HTML.
Wpływ biznesowy
Atakujący z uprawnieniami co najmniej na poziomie Contributor mogą wstrzyknąć złośliwy kod JavaScript, który wykona się po kliknięciu przycisku czatu WhatsApp na stronie. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie poprawek. W międzyczasie warto ograniczyć dostęp do funkcji shortcode [chat] tylko do zaufanych użytkowników oraz monitorować logi serwera pod kątem nietypowej aktywności. Wdrożenie dodatkowych mechanizmów filtrowania i walidacji danych wejściowych również może pomóc zmniejszyć ryzyko.