CVE-2026-100106: Stored XSS в FiboSearch для WooCommerce
В плагине FiboSearch – Ajax Search for WooCommerce (версии до 1.34.2 включительно) обнаружена уязвимость хранимого межсайтового скриптинга через параметр 'purchased_plan'. Проблема затрагивает сайты на WordPress с установленным плагином и требует наличия у атакующего учётной записи уровня Subscriber и выше. Критичность — средняя (CVSS 6.4).
Подробности
Уязвимости подвержены все версии плагина FiboSearch – Ajax Search for WooCommerce от разработчика damian-gora вплоть до 1.34.2 включительно. Причиной стала недостаточная очистка входных данных и экранирование выходных данных при обработке параметра 'purchased_plan'. В результате атакующий, имеющий аутентификацию на сайте с правами уровня Subscriber или выше, может внедрить произвольный веб-скрипт в страницы сайта. Код будет выполняться в браузере любого пользователя, открывшего скомпрометированную страницу, что делает атаку опасной для администраторов и других привилегированных пользователей. Важной особенностью эксплуатации является дополнительное условие: владелец сайта должен ранее пройти стандартную процедуру подключения Freemius (opt-in flow). После выполнения этого условия любой пользователь с ролью Subscriber может достичь уязвимого обработчика, просто загрузив страницу /wp-admin/profile.php с необходимыми параметрами запроса. Это существенно снижает порог входа для потенциального злоумышленника, поскольку регистрация подписчика на многих сайтах доступна массово. Таким образом, несмотря на средний уровень критичности, уязвимость создаёт реальный вектор для компрометации административных сессий и внедрения вредоносного кода на страницы сайта.Что делать
В первую очередь рекомендуется обновить плагин FiboSearch – Ajax Search for WooCommerce до версии, в которой уязвимость устранена. Если разработчик уже выпустил патч, установите его незамедлительно через панель администратора WordPress или через систему управления обновлениями. Если обновление на данный момент невозможно, следует рассмотреть временные митигации: - ограничить регистрацию новых пользователей на сайте, чтобы снизить вероятность получения злоумышленником учётной записи уровня Subscriber; - усилить мониторинг учётных записей с низкими привилегиями и проверять подозрительную активность в профилях пользователей; - при наличии WAF (веб-приложения файрвола) настроить правила фильтрации запросов к /wp-admin/profile.php с подозрительными параметрами; - провести аудит уже существующих учётных записей Subscriber и удалить неиспользуемые. Также стоит проверить журналы доступа на предмет попыток эксплуатации и убедиться, что на сайте не появилось постороннего JavaScript-кода. Итог: CVE-2026-100106 — это хранимая XSS-уязвимость среднего уровня риска, которая при определённых условиях позволяет даже малопирвилегированному пользователю внедрять вредоносные скрипты. Своевременное обновление плагина и ограничение регистрации подписчиков помогут закрыть вектор атаки и защитить сайт и его посетителей.Источник: CVE Project (cvelistV5)