Nazwa wtyczki	Rakieta Społeczna
Rodzaj podatności	Cross Site Scripting
Numer CVE	CVE-2026-1923
Pilność	Średni
Data publikacji CVE	2026-04-23
Adres URL źródła	CVE-2026-1923

Pilne: CVE-2026-1923 — Zatwierdzony subskrybent przechowywane XSS w Social Rocket (<= 1.3.4.2) — Co właściciele stron WordPress muszą teraz zrobić

Data: 2026-04-23
Autor: Zespół ds. bezpieczeństwa WP‑Firewall

Zatwierdzony subskrybent przechowywane XSS w Social Rocket (<= 1.3.4.2) został ujawniony (CVE‑2026‑1923). Niniejsze powiadomienie wyjaśnia ryzyko, scenariusze wykorzystania, kroki wykrywania oraz priorytetowy plan łagodzenia — w tym natychmiastowe wirtualne łatanie za pomocą WP‑Firewall — dla właścicieli i administratorów stron WordPress.

Szybkie podsumowanie: Problem przechowywanego Cross‑Site Scripting (XSS) wpływający na wersje Social Rocket <= 1.3.4.2 (CVE‑2026‑1923) pozwala zatwierdzonemu użytkownikowi z uprawnieniami subskrybenta na wstrzyknięcie ładunku za pomocą parametru id wtyczki, który jest przechowywany i później renderowany w sposób niebezpieczny. Problem został naprawiony w wersji 1.3.5. Jeśli nie możesz zaktualizować natychmiast, postępuj zgodnie z poniższymi środkami łagodzącymi, aby zablokować ataki i oczyścić dotknięte strony.

MD5/sha1 tego powiadomienia: brak — to jest aktywne powiadomienie z WP‑Firewall; proszę postępować zgodnie z poniższymi krokami.

---

Dlaczego to ma znaczenie (w prostych słowach)

Przechowywane XSS jest jedną z najniebezpieczniejszych klas luk w zabezpieczeniach sieciowych, gdy występuje w ścieżkach kodu, gdzie nieufne dane wejściowe są przechowywane w bazie danych i później renderowane na stronach odwiedzanych przez innych użytkowników — szczególnie administratorów. W tym przypadku:

• Luka wymaga jedynie zatwierdzonego konta z rolą subskrybenta do przesłania złośliwego ładunku.
• Ładunek jest przechowywany (utrwalany) przez wtyczkę, a następnie wykonywany w kontekście przeglądarki użytkowników, którzy przeglądają przechowywane dane.
• To czyni go atrakcyjnym wektorem dla atakujących do przejęcia strony: kradzież ciasteczek administratora, przeprowadzanie eskalacji uprawnień w stylu CSRF, wstrzykiwanie tylnej furtki lub ładowanie dodatkowych zasobów złośliwego oprogramowania.

Ponieważ atakujący potrzebuje tylko konta subskrybenta (wiele stron pozwala na otwarte rejestracje lub ma użytkowników, którzy zostali skompromitowani), staje się to problemem wysokiego ryzyka mimo “średniej” oceny CVSS. Masowe kampanie wykorzystania często celują w podobne luki.

---

Podsumowanie techniczne (co zgłosili badacze)

• Typ podatności: Przechowywane skrypty międzywitrynowe (XSS)
• Dotknięty komponent: Wtyczka Social Rocket dla WordPress
• Dotknięte wersje: <= 1.3.4.2
• Naprawione w: 1.3.5
• ID CVE: CVE‑2026‑1923
• Wymagane uprawnienia: Subskrybent (uwierzytelniony)
• CVSS (zgodnie z raportem): 6.5 (Średni)
• Szczegóły wykorzystania: Wtyczka akceptuje id parametr w żądaniu, który jest zapisywany w bazie danych i później wyświetlany bez odpowiedniego uciekania. Atakujący z kontem subskrybenta może przesłać ładunek zawierający HTML/JS, który zostanie wykonany, gdy użytkownik z wyższymi uprawnieniami lub jakikolwiek odwiedzający zobaczy treść.

Notatka: Dokładna nazwa wewnętrznego punktu końcowego i kolumna przechowywania różnią się w zależności od wersji wtyczki; ważne jest, aby zrozumieć, że id parametr jest używany do utrzymywania i późniejszego renderowania treści z niewystarczającą sanitizacją/escapowaniem.

---

Typowe scenariusze eksploatacji

1. Atakujący tworzy konto subskrybenta na docelowej stronie (lub kompromituje jedno).
2. Atakujący lokalizuje funkcję udostępnioną przez wtyczkę, która akceptuje id lub podobny parametr (na przykład: konfigurowanie przycisku udostępniania, tworzenie wpisu za pomocą interfejsu wtyczki lub wywoływanie punktu końcowego, który wtyczka udostępnia dla AJAX).
3. Atakujący wstrzykuje ładunek skryptu (np., <script>...</script> lub bardziej dyskretne obsługiwacze zdarzeń) do tego parametru. Wtyczka przechowuje go w bazie danych.
4. Gdy administrator (lub dowolny odwiedzający) otwiera stronę administracyjną lub frontend, gdzie ta treść jest renderowana, ładunek wykonuje się w kontekście przeglądarki tego użytkownika.
5. Konsekwencje mogą obejmować kradzież ciasteczek (jeśli ciasteczka nie są HttpOnly), fałszowanie uwierzytelnionych żądań (CSRF), przekierowywanie użytkowników, instalowanie tylnej furtki na poziomie administratora za pomocą JS wykorzystującego uwierzytelnione sesje lub dodawanie złośliwej treści do strony.

Ponieważ atakujący musi być tylko subskrybentem, strony, które pozwalają na rejestracje lub mają nieaktywne/nieutrzymywane listy użytkowników, są narażone na ryzyko.

---

Wpływ i dlaczego powinieneś działać szybko

• Przejęcie administracyjne: Jeśli administrator przegląda przechowywaną treść będąc zalogowanym, atakujący może uruchomić JS, aby wykonać działania z uprawnieniami administratora (np. zainstalować użytkownika administratora, zmienić opcje).
• Trwałe zniekształcenie strony i dystrybucja złośliwego oprogramowania: Przechowywane skrypty mogą wstrzykiwać złośliwe iframe/przekierowania do publicznych stron.
• Zatrucie SEO: Atakujący mogą wstrzykiwać spamowe linki lub ukrytą treść.
• Reputacja i zgodność: Strony serwujące złośliwe oprogramowanie ryzykują umieszczenie na czarnej liście przez wyszukiwarki oraz konsekwencje prawne, jeśli dane użytkowników zostaną ujawnione.

Nawet jeśli twoja strona jest mała lub mało ruchliwa, narzędzia do masowej eksploatacji mogą być używane przeciwko wielu stronom równocześnie. Zaktualizuj/zmniejsz ryzyko teraz.

---

Natychmiastowa lista priorytetów (pierwsze 60–120 minut)

1. Zidentyfikuj, czy Social Rocket jest zainstalowany i jaka jest jego wersja
   • Dashboard -> Wtyczki -> zlokalizuj Social Rocket i zanotuj wersję.
   • Jeśli dostępny jest panel sterowania hostingiem lub WP‑CLI:
     • WP‑CLI: wp plugin list --status=active | grep social-rocket
2. Jeśli potwierdzono podatność (<= 1.3.4.2), zaktualizuj do 1.3.5 natychmiast jeśli dostępne.
   • Jeśli nie możesz zaktualizować od razu (wymagane testy), zastosuj tymczasowe łagodzenia poniżej.
3. Jako awaryjne ograniczenie, tymczasowo wyłącz wtyczkę:
   • Admin: Wtyczki -> Dezaktywuj Social Rocket.
   • Lub WP‑CLI: wp wtyczka dezaktywuj social-rocket
   • Jeśli potrzebujesz tej funkcji na stronie i nie możesz dezaktywować, wdroż natychmiast wirtualną łatkę za pomocą reguły WAF (zobacz łagodzenia WP‑Firewall poniżej).
4. Przejrzyj konta utworzone w ciągu ostatnich 30–90 dni pod kątem podejrzanych kont Subskrybenta; zawieś lub zresetuj hasła dla podejrzanych użytkowników.
5. Uruchom skanowanie złośliwego oprogramowania (skaner WP‑Firewall lub dowolny skaner, którego używasz) i priorytetowo przeszukaj <script> lub podejrzany HTML wstawiony do opcji wtyczki, postmeta lub niestandardowych tabel.

---

Wykrywanie: jak szukać aktywnego wykorzystania lub wstrzykniętych ładunków

Przeszukaj bazę danych WordPressa pod kątem podejrzanych wzorców treści. Typowe miejsca do sprawdzenia:

• tabela wp_options (opcje witryny/wtyczki)
• wp_postmeta (pola meta przypisane do postów/stron)
• wp_posts (post_content)
• Jakiekolwiek specyficzne tabele wtyczek (Social Rocket może tworzyć własne opcje lub wpisy meta)

Przydatne fragmenty SQL (uruchamiaj ostrożnie; zawsze najpierw wykonaj kopię zapasową DB):

Znajdź wspólne tagi skryptów:

SELECT option_name, option_value;

Szukaj zakodowanych ładunków:

SELECT post_id, meta_key, meta_value
FROM wp_postmeta
WHERE meta_value LIKE '%script%' OR meta_value LIKE '%<script>%';

Jeśli wtyczki przechowują według znanych nazw kluczy (np., social_rocket_*) wyszukaj:

WYBIERZ option_name, option_value Z wp_options GDZIE option_name JAKO '%social_rocket%';

Sprawdź również logi dostępu serwera pod kątem żądań z kont subskrybentów (uwierzytelnione żądania często pokazują zalogowane ciasteczka lub POST-y do punktów końcowych wtyczki).

---

Krótkoterminowe środki zaradcze, które możesz wdrożyć natychmiast

Są one uporządkowane według szybkości + skuteczności.

1. Zaktualizuj wtyczkę do wersji 1.3.5 (lub nowszej)
   • To jest ostateczne rozwiązanie. Zaktualizuj na wszystkich stronach tak szybko, jak to możliwe. Przetestuj na środowisku testowym, jeśli to konieczne, ale dla krytycznych stron priorytetowo traktuj aktualizację, nawet jeśli musisz wstrzymać inne zmiany.
2. Jeśli nie możesz zaktualizować natychmiast, dezaktywuj wtyczkę
   • Najszybsze, najpewniejsze ograniczenie. Bądź świadomy utraty funkcji.
3. Wirtualna łatka z regułą WAF WP‑Firewall (zalecane, jeśli wtyczka musi pozostać aktywna)
   • Zablokuj lub zdezynfekuj żądania, które zawierają podejrzane ładunki w id parametrze lub zablokuj dostęp do podatnego punktu końcowego dla ról Subskrybenta (i niższych).
   • Przykład ogólnej reguły WAF (pseudokod / styl ModSecurity):

     # Zablokuj żądania, w których parametr 'id' zawiera tagi HTML lub skrypty <(script|img|iframe|svg|math|object|embed|on[a-z]+=|javascript:)"
     

   • Dla nginx z ngx_lua możesz użyć wyrażenia regularnego na args i zwrócić 403, gdy wykryte zostaną tokeny HTML.
   • Jeśli WP‑Firewall zapewnia interfejs użytkownika dla niestandardowych reguł, stwórz jedną, która blokuje żądania, w których id zawiera tagi HTML lub podejrzane wzorce JS.
4. Ogranicz punkty końcowe wtyczki do zaufanych ról (wirtualne ACL)
   • Jeśli podatny punkt końcowy jest przeznaczony tylko dla administratorów, użyj reguł WAF, aby zezwolić tylko na adresy IP administratorów lub ciasteczka administratorów.
   • Przykład (pseudo):
     • Jeśli REQUEST_URI pasuje do /wp-admin/admin-ajax.php a akcja równa się podatnej akcji, wtedy wymagana jest kontrola uprawnień lub blokada dla roli == subskrybent.
5. Wdrożenie nagłówka Polityki Bezpieczeństwa Treści (CSP), aby złagodzić wykonanie skryptów inline.
   • Dodaj nagłówek (dokładnie przetestuj):

     Content-Security-Policy: default-src 'self'; script-src 'self' https://trusted.cdn.com; object-src 'none'; base-uri 'self';

   • CSP z unsafe-inline wyłączonym zapobiegnie wykonaniu wstrzykniętych skryptów inline w wielu przeglądarkach (ale CSP nie jest zamiennikiem dla łatania).
6. Wzmocnij ciasteczka: upewnij się, HttpOnly I SameSite że są ustawione w celu ograniczenia dostępu JS do ciasteczek.
   • W pliku wp-config.php lub za pomocą konfiguracji serwera ustaw flagi ciasteczek sesyjnych.
7. Monitorowanie i ostrzeganie
   • Uważaj na 403 z reguł WAF, nagłe działania administratorów lub nowych użytkowników administratorów.
   • Włącz logowanie WP‑Firewall i powiadomienia w czasie rzeczywistym o zablokowanych wzorcach XSS.

---

Jak WP‑Firewall może pomóc (szczegóły techniczne)

Jako produkt WAF i zarządzanej bezpieczeństwa, WP‑Firewall oferuje wiele warstw, które mogą zatrzymać eksploatację nawet przed wykonaniem kodu:

• Reguła wirtualnego łatania: Możemy wdrożyć regułę, która sprawdza id parametr i inne specyficzne dla wtyczki dane wejściowe oraz blokuje żądania, które zawierają tokeny HTML/skryptów lub ładunki, które pasują do znanych wzorców eksploatacji dla tego problemu.
• Reguły świadome ról: Reguły WP‑Firewall mogą być ograniczone do blokowania żądań od użytkowników z niskimi uprawnieniami (Subskrybent) do konkretnych punktów końcowych wtyczki, zapobiegając ich przesyłaniu danych wejściowych, które wtyczka będzie przechowywać.
• Blokowanie żądań + ograniczanie liczby prób: Blokuj podejrzane adresy IP i ograniczaj powtarzające się próby eksploatacji tego samego punktu końcowego.
• Skaner złośliwego oprogramowania: Regularne skanowanie postów/opcji/postmeta w celu znalezienia przechowywanych znaczników skryptów i podejrzanych zmian.
• Powiadamianie: Powiadomienia w czasie rzeczywistym do administratorów, gdy wystąpi zablokowana próba, abyś mógł podjąć kroki dochodzeniowe.
• Wskazówki dotyczące czyszczenia: Narzędzia i wskazówki, aby znaleźć i usunąć przechowywane ładunki z bazy danych.

Jeśli już używasz WP‑Firewall, upewnij się, że automatyczne wirtualne łatanie jest włączone, a Twoja strona ma załadowane aktualne zasady. Jeśli jeszcze nie używasz WP‑Firewall, włącz zarządzany WAF na swojej stronie, aż wtyczka zostanie zaktualizowana.

---

Usuwanie złośliwych przechowywanych ładunków (czyszczenie)

Jeśli znajdziesz tagi skryptów lub podejrzane treści, musisz je ostrożnie usunąć i upewnić się, że masz kopie zapasowe.

Zalecane kroki czyszczenia:

1. Zrób świeżą kopię zapasową bazy danych i plików przed wprowadzeniem zmian.
2. Eksportuj podejrzane wiersze do analizy:

   SELECT * FROM wp_postmeta WHERE meta_value LIKE '%<script%' INTO OUTFILE '/tmp/suspect_postmeta.csv';

3. Zastąp lub usuń tagi z dotkniętych pól za pomocą SQL lub poprzez eksportowanie → czyszczenie lokalnie → ponowne importowanie. Przykład SQL do usunięcia tagów skryptów (podstawowy; przetestuj najpierw):

   UPDATE wp_postmeta;

4. Przeszukaj wp_options i wp_posts w podobny sposób i oczyść.
5. Jeśli podejrzewasz kompromitację konta administratora, zmień wszystkie hasła administratorów, unieważnij sesje:
   • Zmień hasła administratorów i wymuś wylogowanie dla wszystkich użytkowników (możesz zmienić klucze soli w wp-config.php, aby unieważnić wszystkie sesje).
6. Sprawdź przesłane pliki pod kątem webshelli, nietypowych plików PHP w wp-content/uploads, katalogach motywów lub wtyczek.
7. Ponownie przeskanuj za pomocą swojego skanera złośliwego oprogramowania i ręcznie zweryfikuj krytyczne strony.
8. Jeśli atak jest skomplikowany, skorzystaj z wsparcia kryminalistycznego.

---

Długoterminowe zalecenia dotyczące wzmocnienia zabezpieczeń

1. Zasada najmniejszych uprawnień dla użytkowników
   • Subskrybenci nie powinni mieć możliwości przesyłania, edytowania ani niestandardowych uprawnień, chyba że jest to wyraźnie potrzebne.
   • Przejrzyj niestandardowy kod lub wtyczki, które podnoszą uprawnienia subskrybenta.
2. Przejrzyj i ogranicz możliwości wtyczek
   • Niektóre wtyczki ujawniają punkty końcowe AJAX lub akcje frontendowe; powinny one wymagać sprawdzenia uprawnień, które odpowiadają zamierzonym użytkownikom.
3. Automatyczne aktualizacje krytycznych poprawek zabezpieczeń
   • Skonfiguruj automatyczne aktualizacje dla drobnych poprawek zabezpieczeń lub krytycznych wtyczek, gdzie to możliwe. W przypadku większych wtyczek przetestuj w stagingu.
4. Utrzymuj listę dozwolonych funkcji wtyczek/skryptów zewnętrznych.
   • Unikaj skryptów inline z nieznanych źródeł.
5. Użyj procesu wydania w etapach.
   • Testuj aktualizacje wtyczek w stagingu z automatycznymi skanami przed wdrożeniem na żywo. Jednak poprawki zabezpieczeń powinny być szybko stosowane w produkcji.
6. Zaplanowane skany integralności bazy danych.
   • Okresowo uruchamiaj automatyczne kontrole, które przeszukują bazę danych w poszukiwaniu tagów skryptów lub podejrzanych wzorców i powiadamiają administratorów.
7. Polityka bezpieczeństwa treści i zabezpieczone nagłówki odpowiedzi.
   • CSP, X‑Frame‑Options, X‑Content‑Type‑Options i Strict‑Transport‑Security zmniejszają powierzchnię ataku.
8. Miej podręcznik reakcji na incydenty.
   • Zidentyfikuj kroki, aby ograniczyć, złagodzić, oczyścić i zgłosić. Upewnij się, że ktoś jest dostępny.

---

Przykład: Fragment wzmacniający rolę (WordPress functions.php)

Jeśli chcesz programowo cofnąć konkretne uprawnienia subskrybentów (np. jeśli wtyczka błędnie przyznaje im uprawnienia do edycji), dodaj to do wtyczki specyficznej dla witryny lub functions.php:

<?php

Notatka: Bądź ostrożny — usuwaj uprawnienia tylko wtedy, gdy Twoja witryna naprawdę ich nie potrzebuje do pracy subskrybentów.

---

Przykład: WP‑Query do znajdowania podejrzanych stron (PHP)

Dodaj narzędzie administracyjne lub uruchom z WP‑CLI, aby wylistować posty ze skryptami:

<?php
", get_the_ID(), get_the_title() );

---

Testowanie po złagodzeniu

• Zweryfikuj, czy wtyczka jest zaktualizowana do 1.3.5 (lub dezaktywowana).
• Ponownie uruchom zapytania DB powyżej, aby upewnić się, że ładunki zostały usunięte.
• Sprawdź logi WAF, aby potwierdzić, że wirtualna łatka zablokowała żądania atakujących.
• Potwierdź, że nagłówki CSP są obecne i poprawne (użyj narzędzi dewelopera w przeglądarce do inspekcji).
• Przetestuj normalną funkcjonalność strony (przyciski udostępniania i funkcje wtyczek), aby upewnić się, że nie ma uszkodzeń.
• Zmień dane uwierzytelniające i potwierdź, że sesje administratorów zostały unieważnione.

---

Dla deweloperów: jak kodować defensywnie przeciwko podobnym problemom

1. Traktuj wszystkie dane wejściowe jako nieufne — oczyszczaj przy wejściu i escape'uj przy wyjściu.
   • Używaj funkcji oczyszczania odpowiednich do typu danych przy zapisywaniu (np. sanitize_text_field dla tekstu zwykłego).
   • Zawsze escape'uj przy wyjściu w szablonach WordPress: esc_html(), esc_attr(), wp_kses_post() tam, gdzie to potrzebne.
2. Waliduj uprawnienia przed zapisaniem lub renderowaniem wrażliwych ustawień wtyczek.
   • Używać current_user_can( 'manage_options' ) dla funkcji tylko dla administratorów.
3. Unikaj przechowywania surowego HTML przesyłanego przez użytkowników o niskich uprawnieniach. Jeśli musisz zezwolić na HTML, użyj ścisłej listy dozwolonych elementów za pomocą wp_kses().
4. Przejrzyj punkty końcowe AJAX i REST pod kątem sprawdzenia uprawnień i upewnij się, że nonce są używane.
5. Napisz testy jednostkowe/integracyjne, które obejmują próby wstrzykiwania XSS (automatyczne testy bezpieczeństwa).

---

Co zrobić, jeśli znajdziesz dowody na eksploatację

• Zawęż: dezaktywuj podatną wtyczkę / zastosuj regułę WAF.
• Zachowaj logi do dochodzenia (serwer WWW, WAF, dziennik aktywności WordPress).
• Zmień hasła dla wszystkich użytkowników administracyjnych i unieważnij sesje.
• Powiadom interesariuszy i, jeśli to możliwe, użytkowników, których dane mogły zostać naruszone.
• Rozważ profesjonalną reakcję na incydenty, jeśli dowody wskazują na szersze naruszenie.

---

Sugerowane zestawy reguł WAF do zablokowania tego wzorca ataku

Poniżej znajdują się koncepcyjne reguły, które możesz wdrożyć. Powinny być najpierw testowane w trybie uczenia.

1. Zablokuj, jeśli id zawiera tagi HTML (ścisłe):
   • Reguła: Jeśli ARGS:id zawiera < następujący po tym nazwę tagu HTML LUB zawiera JavaScript: LUB typowe obsługiwacze zdarzeń (onerror=, onclick=, itd.) to zablokuj.
2. Zablokuj nazwy akcji AJAX znane jako należące do Social Rocket, gdy rola żądającego to Subskrybent:
   • Reguła: Jeśli ścieżka żądania zawiera admin-ajax.php I action=sr_* (zastąp akcją wtyczki) i użytkownik ma rolę subskrybenta, zablokuj lub wymagaj 2FA.
3. Zablokuj wzorce przechowywanych ładunków XSS w ciałach POST na całej stronie
   • Reguła: Zablokuj żądania z <script + </script> sekwencjami w POSTach lub ciałach żądań.

---

Szablon komunikacji dla właścicieli stron i zespołów

Jeśli musisz zgłosić wewnętrznie lub klientowi:

Temat: Pilne — Wtyczka Social Rocket przechowywane XSS (CVE‑2026‑1923) — Wymagana akcja

Treść:

• Przechowywane XSS (CVE‑2026‑1923) wpływające na Social Rocket <= 1.3.4.2 zostało ujawnione.
• Wpływ: Subskrybent może utrzymywać złośliwe skrypty, które wykonują się, gdy administratorzy/odwiedzający przeglądają treść.
• Natychmiastowe podjęte kroki: [aktualizacja/dezaktywacja/wirtualna łatka] (wymień, co zrobiłeś).
• Planowane następne kroki: oczyszczenie bazy danych, skanowanie witryny, rotacja poświadczeń, monitorowanie logów WAF.
• ETA dla usunięcia: [ramy czasowe]
• Kontakt: [kontakt operacyjny/bezpieczeństwa]

---

Nowość: Wypróbuj WP‑Firewall Basic (Darmowy) — Chroń swoją witrynę teraz

Stworzyliśmy darmowy plan Basic, aby właściciele witryn, tacy jak Ty, mogli uzyskać natychmiastową podstawową ochronę bez problemów budżetowych. Oto, co otrzymujesz w planie Basic (Darmowym):

• Zarządzany zapora (WAF) z zestawami reguł, które blokują powszechne ataki internetowe
• Nielimitowana przepustowość, aby ochrona nigdy nie spadała, gdy jej potrzebujesz
• Skaner złośliwego oprogramowania do wykrywania znanych ładunków i podejrzanych danych wejściowych
• Łagodzenie ryzyk OWASP Top 10 — w tym wzorców XSS
• Łatwe wprowadzenie i natychmiastowa możliwość wirtualnego łatania

Zacznij chronić swoją witrynę już dziś (nie jest wymagana karta kredytowa): https://my.wp-firewall.com/buy/wp-firewall-free-plan/

(Jeśli potrzebujesz proaktywnego oczyszczenia, zautomatyzowanego wirtualnego łatania lub miesięcznych raportów bezpieczeństwa, sprawdź nasze plany Standard i Pro dla rozszerzonej ochrony.)

---

Ostateczne zalecenia

1. Zaktualizuj Social Rocket do wersji 1.3.5 (lub nowszej) na każdej witrynie natychmiast.
2. Jeśli nie możesz teraz zaktualizować, dezaktywuj wtyczkę lub włącz regułę WAF, aby zablokować złośliwe ładunki w id parametrze i podobnie nazwanych danych wejściowych.
3. Audytuj ostatnią aktywność subskrybentów, przeskanuj bazę danych w poszukiwaniu zapisanych skryptów i oczyść je.
4. Wzmocnij granice uprawnień użytkowników i włącz nagłówki bezpieczeństwa, takie jak CSP.
5. Użyj darmowego planu WP‑Firewall, aby uzyskać podstawową ochronę i wirtualne łatanie, podczas gdy pracujesz nad aktualizacjami i oczyszczeniem.

Bezpieczeństwo to nie jednorazowe ćwiczenie. Traktuj ten problem jako przypomnienie o posiadaniu wielu warstw: zarządzanie łatkami, minimalne uprawnienia, monitorowanie i WAF z możliwością wirtualnego łatania. Jeśli potrzebujesz pomocy w zastosowaniu któregokolwiek z tych środków zaradczych lub chcesz, aby WP‑Firewall wdrożył tymczasową wirtualną łatkę dla Ciebie, skontaktuj się z naszym wsparciem z pulpitu nawigacyjnego WP‑Firewall lub zarejestruj się w darmowym planie, aby natychmiast rozpocząć.

---

Jeśli znalazłeś dodatkowe wskaźniki kompromitacji lub potrzebujesz szczegółowych wskazówek, aby oczyścić dotkniętą stronę, odpowiedz poniżej lub otwórz zgłoszenie wsparcia z konta WP‑Firewall — priorytetowo zajmiemy się triage i usunięciem problemu.