Уразливість Stored XSS у плагіні BitForm для WordPress (CVE-2026-8891)

Що відомо

Плагін BitForm для WordPress версій до 1.1.0 включно містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію атрибутів shortcode 'width' та 'height'. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати довготривалі скрипти на сайтах, що може призвести до викрадення сесій користувачів, зміни контенту або інших атак через браузер. Власники сайтів і ІТ-оператори повинні врахувати ризики компрометації даних та репутації, особливо якщо на сайті є користувачі з правами контриб’ютора і вище.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна BitForm від розробника і застосувати їх при наявності. Якщо оновлення недоступні, слід обмежити права користувачів, провести аудит логів на ознаки експлуатації, а також зменшити експозицію вразливих сторінок. Важливо також контролювати введення та валідацію параметрів shortcode.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference