CVE-2026-8869: Stored Cross-Site Scripting w wtyczce Mutual Funds Data dla WordPress

Co wiadomo

Wtyczka Mutual Funds Data dla WordPress do wersji 1.2.1 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybut shortcode 'title'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej Contributor.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Mutual Funds Data i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji shortcode 'title'. Warto również przeprowadzić przegląd i wzmocnienie polityk bezpieczeństwa aplikacji WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference