CVE-2026-8877: Stored Cross-Site Scripting w wtyczce Responsive Video Embedder dla WordPress

Co wiadomo

Wtyczka Responsive Video Embedder dla WordPress do wersji 0.1 jest podatna na atak Stored Cross-Site Scripting poprzez shortcode 'rem_video'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach 'id' i 'list', co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Atakujący z dostępem na poziomie współpracownika lub wyższym mogą wstrzykiwać złośliwe skrypty, które będą wykonywane przez innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Responsive Video Embedder i ich zastosowanie. W przypadku braku łatki, ograniczenie dostępu do funkcji edycji dla użytkowników o niższych uprawnieniach, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie witryny pod kątem nietypowych zachowań. Priorytetowe traktowanie tej podatności w procesie zarządzania ryzykiem.

Źródła

• NVD
• Reference
• Reference
• Reference