Analityczne wykorzystywanie plików cookies
CVE-2026-8627: Reflected Cross-Site Scripting w wtyczce Correct Prices dla WordPress
Podatność XSS w wtyczce Correct Prices dla WordPress umożliwia ataki przez niezweryfikowane dane w $_SERVER['PHP_SELF']. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.1 MEDIUM
- EPSS
- 12.8%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Correct Prices dla WordPress w wersjach do 1.0 włącznie jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez zmienną $_SERVER['PHP_SELF']. Funkcja correct_prices_page() wprowadza tę zmienną bez sanitizacji do atrybutu action formularza, co umożliwia wstrzyknięcie złośliwego kodu przez nieautoryzowanego atakującego.
Wpływ biznesowy
Atakujący mogą wykorzystać tę podatność do wstrzyknięcia i wykonania złośliwych skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie dotyczy stron korzystających z tej wtyczki, szczególnie jeśli użytkownicy mogą zostać nakłonieni do kliknięcia spreparowanego linku.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Correct Prices i ich instalację. W międzyczasie warto ograniczyć ekspozycję podatnej funkcji, monitorować logi serwera pod kątem podejrzanych żądań oraz edukować użytkowników w zakresie unikania klikania podejrzanych linków. Przegląd i poprawa sanitizacji danych wejściowych w kodzie wtyczki jest kluczowa.