CVE-2026-8901: podatność Stored XSS w wtyczce Integration for Freshsales dla WordPress

Co wiadomo

Wtyczka Integration for Freshsales – Contact Form 7, WPForms, Elementor, Gravity Forms i inne dla WordPress do wersji 1.0.15 zawiera podatność Stored Cross-Site Scripting (XSS) wynikającą z niewystarczającej sanitacji danych formularzy. Atakujący mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania szczegółów błędów w panelu administratora.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwego kodu w panelu administracyjnym WordPress, co może prowadzić do przejęcia sesji administratora, eskalacji uprawnień lub innych działań naruszających bezpieczeństwo systemu CRM i strony. Zagrożenie jest szczególnie istotne dla właścicieli stron korzystających z tej wtyczki, którzy obsługują formularze kontaktowe i integracje CRM.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do panelu administratora oraz monitoruj logi błędów pod kątem podejrzanych wpisów. Warto również przeprowadzić przegląd i wzmocnienie sanitacji danych formularzy oraz ograniczyć możliwość wywoływania błędów API CRM przez nieautoryzowanych użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference