Analityczne wykorzystywanie plików cookies
CVE-2026-8846: podatność Stored XSS w wtyczce Tuxquote dla WordPress
Podatność Stored XSS w wtyczce Tuxquote dla WordPress do wersji 1.3 umożliwia atakującym z uprawnieniami współpracownika wstrzyknięcie złośliwych skryptów.
- CVSS
- 6.4 MEDIUM
- EPSS
- 8.56%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Tuxquote dla WordPress do wersji 1.3 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'TUXQUOTE'. Problem wynika z niewystarczającej sanitacji i escapingu atrybutów użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie Współpracownika.
Wpływ biznesowy
Atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań naruszających bezpieczeństwo i integralność witryny. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Tuxquote i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji shortcode TUXQUOTE do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd i wzmocnienie mechanizmów sanitacji i escapingu danych wejściowych w witrynie.