Analytical use of cookies
Вразливість Stored XSS у плагіні Postalicious для WordPress (CVE-2026-1266)
Вразливість Stored XSS у плагіні Postalicious (до версії 3.0.1) дозволяє адміністраторам впроваджувати шкідливі скрипти в мультисайтових інсталяціях WordPress.
- CVSS
- 4.4 MEDIUM
- EPSS
- 15.76%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
Плагін Postalicious для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через налаштування адміністратора у версіях до 3.0.1 включно. Це дозволяє автентифікованим користувачам з правами адміністратора впроваджувати шкідливі скрипти, які виконуються при доступі до уражених сторінок.
Бізнес-вплив
Вразливість може бути використана для виконання довільних скриптів у контексті сайту, що загрожує безпеці користувачів і цілісності вебресурсу. Особливо це стосується мультисайтових інсталяцій WordPress або випадків, коли параметр unfiltered_html вимкнено. Це може призвести до компрометації облікових записів або викрадення сесій.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна Postalicious і застосувати їх, якщо вони доступні. Якщо оновлення неможливе, слід обмежити права користувачів з адміністративним доступом, переглянути налаштування unfiltered_html, провести аудит логів на ознаки експлуатації та мінімізувати експозицію уразливих інсталяцій.