Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce Faces of Users dla WordPress (CVE-2026-8038)
Podatność XSS w wtyczce Faces of Users WordPress do 0.0.3 umożliwia ataki przez wstrzyknięcie skryptów przez użytkowników z uprawnieniami Contributor i wyżej.
- CVSS
- 6.4 MEDIUM
- EPSS
- 15.87%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Faces of Users dla WordPress do wersji 0.0.3 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez atrybut 'default' w shortcode 'facesofusers'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z ograniczonymi uprawnieniami wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Może to obniżyć zaufanie do witryny oraz narazić na straty reputacyjne i operacyjne.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Faces of Users i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa i edukować użytkowników o ryzyku.