CVE-2026-9148: podatność Stored XSS w wtyczce wpDiscuz dla WordPress

Co wiadomo

Wtyczka Comments – wpDiscuz dla WordPress do wersji 7.6.56 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez pole 'Website' komentatora gościa. Problem wynika z niewystarczającego oczyszczania danych w funkcji getCommentAuthor(), co pozwala na wstrzyknięcie złośliwych skryptów wykonywanych przy odwiedzeniu strony.

Wpływ biznesowy

Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwe skrypty, które wykonają się u użytkowników odwiedzających zaatakowane strony. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki wpDiscuz u jej dostawcy i wdrożenie najnowszej wersji zawierającej poprawkę. W międzyczasie warto ograniczyć możliwość dodawania komentarzy przez niezalogowanych użytkowników lub monitorować logi pod kątem podejrzanych aktywności. Przegląd i weryfikacja ustawień bezpieczeństwa WordPress oraz stosowanie mechanizmów ochrony przed XSS są również wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference