Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce Dideo dla WordPress (CVE-2026-8847)
Wtyczka Dideo 1.0 dla WordPress ma lukę XSS umożliwiającą wstrzyknięcie skryptów przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 9.8%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Dideo dla WordPress w wersji 1.0 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'dideo'. Niewystarczająca sanitacja i ucieczka danych w atrybucie 'id' pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań naruszających bezpieczeństwo i integralność witryny WordPress.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Dideo i jej instalację. W międzyczasie ogranicz dostęp do funkcji shortcode 'dideo' tylko do zaufanych użytkowników, przeglądaj logi pod kątem podejrzanych aktywności oraz rozważ zastosowanie mechanizmów filtrowania i sanitizacji danych wejściowych.