CVE-2026-8894: Stored Cross-Site Scripting w wtyczce iWR Tooltip dla WordPress

Co wiadomo

Wtyczka iWR Tooltip dla WordPress w wersjach do 1.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode `iwrtooltip`. Problem wynika z niewystarczającej sanitacji i ucieczki danych w atrybucie `title`, co pozwala na wstrzyknięcie złośliwego kodu przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań naruszających bezpieczeństwo i integralność witryny. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki iWR Tooltip u jej dostawcy oraz ich wdrożenie. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie dla ról z możliwością korzystania z shortcode. Dodatkowo warto przeprowadzić przegląd logów pod kątem podejrzanych działań oraz monitorować witrynę pod kątem nietypowego zachowania.

Źródła

• NVD
• Reference
• Reference
• Reference