CVE-2026-9061: Luka XSS w wtyczce Store Locator WordPress przed wersją 1.6.9

Co wiadomo

Wtyczka Store Locator dla WordPressa w wersjach przed 1.6.9 nie sanitizuje i nie ucieka metadanych logo sklepu przed ich zapisaniem i wyświetleniem na stronie administracyjnej, co umożliwia użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataków typu Stored Cross-Site Scripting nawet przy wyłączonej funkcji unfiltered_html.

Wpływ biznesowy

Atak Stored Cross-Site Scripting może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki administratora, co zagraża bezpieczeństwu panelu zarządzania WordPress. Może to skutkować przejęciem kontroli nad stroną, wyciekiem danych lub innymi nieautoryzowanymi działaniami. Organizacje korzystające z tej wtyczki powinny zwrócić uwagę na potencjalne ryzyko, szczególnie w środowiskach multisite.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Store Locator do wersji 1.6.9 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć dostęp do panelu administracyjnego oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo należy przeglądnąć konfigurację uprawnień użytkowników i rozważyć wdrożenie dodatkowych mechanizmów zabezpieczeń.

Źródła

• NVD
• Reference