CVE-2026-104119: Stored XSS в Simple Shopping Cart до версии 5.2.6
В WordPress-плагине Simple Shopping Cart версий до 5.2.6 обнаружена уязвимость Stored XSS. Значения настроек PayPal API не экранируются при выводе на странице администратора, что позволяет злоумышленникам с высокими привилегиями внедрять вредоносный код. Особенно опасно для мультисайтовых установок.
Подробности
Simple Shopping Cart — популярное расширение для создания интернет-магазинов на базе WordPress. Согласно описанию CVE-2026-104119, плагин не экранирует некоторые значения полей настроек перед выводом на странице администратора. Это означает, что данные, введённые в форму конфигурации PayPal API, сохраняются в базе и впоследствии отображаются без должной обработки. Уязвимость относится к классу Stored XSS (CWE-79). Для эксплуатации атакующему необходимы высокие привилегии — например, права администратора. На первый взгляд это снижает риск, поскольку администратор обычно уже обладает широкими полномочиями. Однако в условиях мультисайтовых установок WordPress (Multisite) администраторы отдельных сайтов не имеют возможности использовать нефильтрованный HTML (capability unfiltered_html). В такой конфигурации внедрённый скрипт может выполниться в контексте более привилегированного пользователя или повлиять на другие сайты сети, что делает атаку значительно более опасной. На момент публикации записи CVE оценка CVSS не указана. Данные о конкретных версиях продукта ограничены формулировкой «Simple Shopping Cart < 5.2.6».Что делать
Основная рекомендация — как можно скорее обновить плагин Simple Shopping Cart до версии 5.2.6 или выше. В этой версии проблема устранена. Если обновление невозможно, следует применить временные меры: — ограничить доступ к административной панели WordPress только доверенными пользователями; — проверить учётные записи с правами администратора и удалить неиспользуемые; — в мультисайтовых конфигурациях пересмотреть роли и убедиться, что лишние привилегии не выданы; — рассмотреть установку WAF с правилами для фильтрации XSS-векторов. Также рекомендуется провести аудит текущих настроек плагина на предмет подозрительных значений в полях PayPal API и просмотреть логи на предмет несанкционированных изменений. Итог: уязвимость CVE-2026-104119 требует внимания администраторов WordPress, особенно в мультисайтовых средах. Своевременное обновление до версии 5.2.6 закрывает вектор атаки и предотвращает возможные последствия Stored XSS.Источник: CVE Project (cvelistV5)