Analityczne wykorzystywanie plików cookies
CVE-2026-8880: RomanCart Ecommerce dla WordPress narażony na atak Stored XSS
RomanCart Ecommerce do WordPress do 2.0.8 narażony na Stored XSS przez niewystarczającą sanitację atrybutów shortcode romancart_button.
- CVSS
- 6.4 MEDIUM
- EPSS
- 9.13%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka RomanCart Ecommerce dla WordPress do wersji 2.0.8 zawiera lukę typu Stored Cross-Site Scripting (XSS) poprzez atrybut 'blclass' i inne w shortcode romancart_button. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki RomanCart Ecommerce i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i rozważyć zastosowanie mechanizmów filtrowania i escapingu danych wejściowych.