CVE-2026-10148: Stored XSS в плагине Amelia для WordPress
В плагине Booking for Appointments and Events Calendar – Amelia (версии до 2.4.9 включительно) обнаружена уязвимость Stored XSS через параметр 'load_manually'. Эксплуатация возможна аутентифицированным пользователем с правами Contributor и доступом к Elementor. Критичность — средняя (CVSS 6.4).
Подробности
Уязвимость затрагивает плагин Booking for Appointments and Events Calendar – Amelia в версиях до 2.4.9 включительно. Согласно описанию CVE, проблема связана с недостаточной очисткой входных данных и экранированием вывода параметра 'load_manually' в методах render() ряда классов, интегрированных с несколькими виджетами Elementor. Эксплуатация возможна аутентифицированным злоумышленником, обладающим правами уровня Contributor и выше, при условии наличия доступа к редактору Elementor. Такой пользователь может внедрить произвольный JavaScript-код в страницы сайта. Скрипт будет выполняться в браузере любого посетителя, открывшего скомпрометированную страницу, что создаёт риски кражи сессионных данных, перенаправления на фишинговые ресурсы и выполнения действий от имени пользователя. Уязвимости присвоен базовый балл CVSS 6.4, что соответствует среднему уровню критичности. Стоит отметить, что частичное исправление было выпущено в версии 2.4.8, однако полное закрытие проблемы достигнуто только в более поздних релизах.Что делать
Основная рекомендация — как можно скорее обновить плагин Booking for Appointments and Events Calendar – Amelia до версии выше 2.4.9. Именно в актуальных релизах устранена уязвимость, связанная с параметром 'load_manually'. Если обновление невозможно в краткосрочной перспективе, следует рассмотреть временные меры: - ограничить число пользователей с правами Contributor и выше, особенно тех, кто имеет доступ к Elementor; - провести аудит учётных записей и отозвать избыточные привилегии; - настроить мониторинг подозрительной активности на страницах, созданных через Elementor, и проверять контент на наличие внедрённых скриптов; - применять WAF-правила для фильтрации потенциально опасных payload'ов в параметрах запросов. Также рекомендуется регулярно проверять страницы сайта на наличие стороннего JavaScript-кода и использовать решения для сканирования уязвимостей WordPress-компонентов. Итог: CVE-2026-10148 — это классическая уязвимость Stored XSS, которая при наличии на сайте пользователей с правами Contributor и доступом к Elementor может привести к компрометации посетителей. Несмотря на средний уровень критичности, риск возрастает в проектах с большим числом авторов и слабым контролем ролей. Оперативное обновление плагина до версии выше 2.4.9 и пересмотр политики привилегий позволяют полностью закрыть вектор атаки.Источник: CVE Project (cvelistV5)