CVE-2026-8872: podatność Stored XSS w wtyczce Animate Your Content dla WordPress

Co wiadomo

Wtyczka Animate Your Content dla WordPress w wersjach do 1.0.0 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'animation-set'. Problem wynika z niewystarczającej sanitizacji i escapowania danych wejściowych, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Animate Your Content i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć zastosowanie mechanizmów ochrony przed XSS na poziomie serwera lub aplikacji oraz edukować użytkowników o ryzyku związanym z uprawnieniami współtwórcy.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference