CVE-2026-9635: WP Shortcode by MyThemeShop - podatność XSS w parametrze 'title' shortcode [tab]

Co wiadomo

Wtyczka WP Shortcode by MyThemeShop dla WordPressa do wersji 1.4.17 zawiera podatność typu Stored Cross-Site Scripting (XSS) w parametrze 'title' shortcode [tab]. Problem wynika z braku odpowiedniej sanitacji i escapingu danych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do przejęcia sesji użytkowników, deface'u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa firmy. Operatorzy powinni traktować tę lukę jako istotne ryzyko dla integralności i poufności danych na swoich witrynach.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Shortcode by MyThemeShop i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz monitorować witrynę pod kątem nietypowych zachowań. Dodatkowo warto rozważyć wdrożenie mechanizmów filtrowania i escapingu danych wejściowych w kodzie strony.

Źródła

• NVD
• Reference
• Reference
• Reference