CVE-2026-107864: Stored XSS в WordPress-плагине Ad Inserter до версии 2.8.18
В WordPress-плагине Ad Inserter (до версии 2.8.18 включительно) обнаружена уязвимость класса Stored XSS. Она позволяет внедрить вредоносный скрипт через недостаточно очищенные входные данные, который затем выполняется в браузерах посетителей сайта. Критичность оценивается как средняя (CVSS 6.5), но для сайтов с пользовательским контентом риск реален.
Подробности
Уязвимость классифицируется как Improper Neutralization of Input During Web Page Generation, то есть «Cross-site Scripting» (XSS). В данном случае речь идёт о Stored XSS: вредоносный код не просто отражается в ответе сервера, а сохраняется в базе данных сайта и выполняется при последующих загрузках заражённой страницы. Затронутый продукт — Ad Inserter от разработчика Igor Funa. Уязвимы все версии плагина до 2.8.18 включительно. Точная версия, в которой проблема устранена, в записи CVE не указана — администраторам следует ориентироваться на актуальный релиз в официальном репозитории WordPress. Уровень опасности по CVSS — 6.5 (MEDIUM). Такая оценка отражает то, что для эксплуатации обычно требуется возможность разместить контент (например, через формы комментариев, профили пользователей или иные поля ввода), однако последствия могут быть серьёзными: перехват сессий, перенаправление посетителей на фишинговые ресурсы, скрытая загрузка вредоносных скриптов и компрометация репутации сайта. Отдельно стоит отметить, что Ad Inserter по своей природе работает с произвольными фрагментами HTML, JavaScript и рекламного кода — это повышает ценность плагина как цели для атакующего, поскольку эксплуатация XSS в таком контексте может выглядеть менее подозрительно для систем мониторинга.Что делать
Основная рекомендация — как можно скорее обновить Ad Inserter до последней доступной версии. Обновления плагинов в WordPress следует выполнять не только из панели администратора, но и проверяя официальный каталог на предмет свежих релизов. До установки исправления стоит рассмотреть временные меры:- ограничить или временно отключить плагин, если он не критичен для работы сайта;
- ужесточить проверку и очистку пользовательского ввода на уровне тем и других плагинов;
- настроить корректную политику Content Security Policy (CSP), чтобы снизить вероятность выполнения внедрённых скриптов;
- провести аудит базы данных и журналов на предмет признаков уже состоявшейся компрометации — подозрительных скриптов в записях, комментариях и настройках плагина;
- включить WAF с правилами для XSS-атак.
Источник: CVE Project (cvelistV5)