CVE-2026-100108: Stored XSS в плагине Social Share Buttons для WordPress

В WordPress-плагине Social Share Buttons, разработанном компанией maxfoundry, выявлена уязвимость класса Stored Cross-Site Scripting (XSS). Проблема затрагивает все версии плагина вплоть до 1.30 включительно и позволяет аутентифицированному атакующему с минимальными правами внедрять вредоносный код в страницы сайта.

Подробности

Уязвимость CVE-2026-100108 связана с недостаточной санитизацией входных данных и экранированием вывода при обработке параметра form (containing share_url) в настройках сети плагина. Из-за этого атакующий с уровнем доступа Subscriber и выше может сохранить в базе данных произвольные веб-скрипты, которые затем будут выполняться в браузере любого пользователя, открывшего скомпрометированную страницу.

Уязвимости присвоен базовый балл CVSS 6.4, что соответствует среднему уровню критичности. Это объясняется тем, что для эксплуатации требуются учётные данные: злоумышленник должен быть аутентифицирован на сайте и обладать как минимум ролью Subscriber. Вместе с тем низкий порог доступа делает уязвимость опасной для сайтов с открытой регистрацией, где любой посетитель может получить учётную запись.

Отдельного внимания заслуживает условие эксплуатации: nonce, необходимый для обращения к обработчику сохранения сетевых настроек (save-network handler), появляется в DOM только после того, как с момента первого визита атакующего в wp-admin истёк 7-дневный таймер напоминания об отзыве (review-nag timer). Это усложняет автоматизированные атаки, но не устраняет саму проблему: злоумышленник может просто выждать неделю после регистрации, чтобы получить доступ к нужному nonce. Плагин Social Share Buttons используется для добавления кнопок распространения контента в социальных сетях, поэтому успешная эксплуатация XSS позволяет похищать сессии, перенаправлять пользователей на фишинговые ресурсы или выполнять действия от их имени.

Что делать

На момент публикации записи CVE сведения о выпуске исправленной версии не приведены. Рекомендуется следующий комплекс мер:

• Проверить наличие плагина Social Share Buttons на сайте и отслеживать обновления у разработчика; при выпуске версии выше 1.30 — установить её незамедлительно.
• Если обновление недоступно и плагин не является критичным для работы сайта — рассмотреть возможность его временного отключения и удаления.
• Ограничить регистрацию новых пользователей либо тщательно модерировать роли: не выдавать права Subscriber без необходимости.
• Внедрить Content Security Policy (CSP), ограничивающую выполнение сторонних и инлайновых скриптов, а также использовать WAF для фильтрации подозрительных запросов к административным обработчикам.
• Регулярно проверять содержимое базы данных и административную панель на предмет подозрительных вставок, оставленных через параметр share_url.

Уязвимость CVE-2026-100108 — очередное напоминание о том, что даже роли с минимальными привилегиями могут служить точкой входа для Stored XSS. Недостаточная валидация пользовательского ввода в настройках плагина превращает безобидную опцию share_url в инструмент внедрения вредоносного кода. До выпуска официального патча владельцам сайтов на WordPress стоит внимательно отнестись к контролю регистрации пользователей и мониторингу целостности контента.

Источник: CVE Project (cvelistV5)