Analityczne wykorzystywanie plików cookies
CVE-2026-8899: Wtyczka Auto Thumbnail dla WordPress podatna na Stored XSS
Wtyczka Auto Thumbnail dla WordPress do wersji 1.0 ma lukę Stored XSS umożliwiającą wstrzyknięcie skryptów przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 9.8%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Auto Thumbnail dla WordPress do wersji 1.0 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) w shortcode 'thumbnails'. Luka wynika z niewystarczającej sanitacji i ucieczki danych w atrybutach 'width' i 'height', co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.
Wpływ biznesowy
Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji serwisu. Zagrożenie dotyczy wszystkich instalacji korzystających z podatnej wersji wtyczki.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Auto Thumbnail i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'thumbnails'. Regularne monitorowanie i stosowanie zasad bezpieczeństwa WordPress jest kluczowe.