CVE-2026-103478: Stored XSS в WordPress-плагине Premium Packages до версии 7.2.6
В WordPress-плагине Premium Packages – Sell Digital Products Securely (версии ≤ 7.2.6) обнаружена уязвимость хранимого межсайтового скриптинга (Stored XSS). Аутентифицированный пользователь с правами Subscriber и выше может внедрить произвольный JavaScript через параметры оформления заказа. Критичность — средняя (CVSS 6.4).
Подробности
Уязвимость относится к классу Stored Cross-Site Scripting (CWE-79). Она затрагивает все версии плагина Premium Packages вплоть до 7.2.6 включительно. Причиной стало недостаточное экранирование входных данных и отсутствие должной очистки на выходе при обработке параметров формы оформления заказа, в частности параметраcheckout[billing][phone], а также связанных с ним полей state, taxid и email.
Эксплуатация возможна для аутентифицированных пользователей с уровнем доступа Subscriber и выше. Это означает, что для атаки достаточно минимально привилегированной учётной записи, которая по умолчанию есть практически на любом сайте с открытой регистрацией. Злоумышленник вводит вредоносный скрипт в одно из указанных полей; код сохраняется в базе данных и затем выполняется в браузере любого пользователя (в том числе администратора), открывшего страницу с внедрённым содержимым.
Согласно оценке CVSS, уязвимости присвоен базовый балл 6.4 (MEDIUM). Это отражает необходимость аутентификации для эксплуатации, но при этом учитывает потенциальное воздействие на конфиденциальность и целостность данных при просмотре скомпрометированной страницы. Наиболее вероятные сценарии — кража сессионных cookie, перенаправление на фишинговые ресурсы, выполнение действий от имени администратора.
Что делать
Основная рекомендация — как можно скорее обновить плагин Premium Packages до версии, в которой устранена уязвимость. На момент публикации записи CVE информация о конкретной исправленной версии в источнике не приводится, поэтому следует отслеживать официальные релизы разработчика codename065 и проверять наличие патча. Если обновление по каким-то причинам невозможно, стоит рассмотреть временные компенсационные меры:- ограничить регистрацию новых пользователей или требовать ручной модерации учётных записей;
- установить WAF с правилами фильтрации подозрительных payload-ов в параметрах оформления заказа;
- регулярно проверять базу данных на наличие внедрённых скриптов в полях billing;
- включить политику Content Security Policy (CSP) для снижения риска выполнения сторонних скриптов.
Источник: CVE Project (cvelistV5)