Analityczne wykorzystywanie plików cookies
CVE-2026-8842: podatność Stored XSS w wtyczce Google+ Link Name dla WordPress
Podatność Stored XSS w wtyczce Google+ Link Name dla WordPress umożliwia ataki przez shortcode gplusnamelink. Zalecane szybkie aktualizacje i ograniczenia dostępu.
- CVSS
- 6.4 MEDIUM
- EPSS
- 9.8%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Google+ Link Name dla WordPress w wersjach do 1.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'gplusnamelink'. Problem wynika z niewystarczającej sanitacji i escapingu atrybutów użytkownika, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.
Wpływ biznesowy
Podatność ta pozwala na wstrzyknięcie i wykonanie złośliwych skryptów w kontekście strony, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla reputacji i bezpieczeństwa serwisu. Operatorzy WordPress powinni traktować tę lukę poważnie, zwłaszcza jeśli korzystają z tej wtyczki i mają wielu użytkowników z uprawnieniami edycyjnymi.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Google+ Link Name i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż współtwórca, przeglądać logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto monitorować i analizować ruch na stronie pod kątem potencjalnych ataków XSS.