CVE-2026-8048: podatność Stored XSS w wtyczce My Email Shortcode dla WordPress

Co wiadomo

Wtyczka My Email Shortcode dla WordPress do wersji 0.91 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybut 'subject' shortcode'u 'my-email'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z odpowiednimi uprawnieniami wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. W środowiskach WordPress z wieloma współpracownikami ryzyko jest szczególnie istotne, gdyż atakujący może wykorzystać tę lukę do eskalacji ataku na innych użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki My Email Shortcode i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i edukować użytkowników o ryzyku XSS.

Źródła

• NVD
• Reference
• Reference
• Reference