Вразливість Stored XSS у плагіні Twittee Text Tweet для WordPress (CVE-2026-4089)

Що відомо

Плагін Twittee Text Tweet для WordPress до версії 1.0.8 містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію атрибутів шорткоду, зокрема 'id'. Атакуючі з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати довготривалі скрипти на сайтах, що може призвести до викрадення сесій користувачів, зміни контенту або інших атак, що впливають на довіру користувачів і безпеку даних. Власники сайтів на WordPress з цим плагіном повинні розглянути ризики, особливо якщо на сайті є користувачі з правами Contributor і вище.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на наявність підозрілої активності, а також розглянути тимчасове відключення плагіна. Загалом, слід зменшити експозицію вразливого функціоналу та посилити контроль доступу.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference