CVE-2026-107865: Stored XSS в WordPress-плагине JetMenu до версии 3.0.5

В экосистеме WordPress вновь обнаружена уязвимость, затрагивающая популярный плагин для создания мегаменю — JetMenu от компании Crocoblock. Проблеме присвоен идентификатор CVE-2026-107865, и она относится к классу хранимых межсайтовых скриптингов (Stored XSS).

Подробности

Уязвимость классифицируется как Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting'). Согласно описанию, плагин JetMenu не выполняет должной нейтрализации пользовательского ввода при генерации веб-страниц, что позволяет внедрить произвольный JavaScript-код, который затем сохраняется на сервере и исполняется в браузерах посетителей сайта. Затронуты все версии JetMenu от Crocoblock в диапазоне от неизвестной начальной версии (n/a) до 3.0.5 включительно. Вендором продукта выступает Crocoblock. Уязвимости присвоена оценка CVSS 6.5, что соответствует среднему уровню критичности. Такой показатель отражает возможность эксплуатации при определённых условиях: для внедрения полезной нагрузки атакующему, как правило, необходим доступ к функционалу, позволяющему оставлять контент (например, права автора или иной привилегированной роли). Однако исполнение внедрённого скрипта затрагивает всех посетителей страницы, включая администраторов, что существенно повышает потенциальный ущерб — от кражи сессионных cookie до выполнения произвольных действий от имени пользователя. Stored XSS особенно опасен тем, что вредоносный код не требует повторного перехода по специально сформированной ссылке — он хранится на сервере и срабатывает автоматически при каждом открытии заражённой страницы.

Что делать

Основная и наиболее надёжная рекомендация — обновить плагин JetMenu до версии, в которой уязвимость устранена. На момент публикации записи CVE конкретная исправленная версия в источнике не указана, поэтому администраторам сайтов следует: - проверить наличие обновлений JetMenu в панели управления WordPress и незамедлительно установить актуальную версию, выпущенную Crocoblock; - отслеживать официальные релизы и бюллетени безопасности вендора для получения информации о патче; - если обновление пока недоступно, рассмотреть временные митигации: ограничить права пользователей на публикацию контента, включить строгую политику Content Security Policy (CSP), а также использовать WAF с правилами фильтрации XSS-векторов; - провести аудит уже опубликованного контента на предмет внедрённых скриптов, особенно если сайт долгое время работал на уязвимой версии; - регулярно проверять журналы доступа и изменения контента на признаки компрометации. Также важно помнить о принципе минимальных привилегий: чем меньше пользователей имеют право публиковать произвольный HTML и JavaScript, тем ниже риск эксплуатации подобных уязвимостей. Итог: CVE-2026-107865 — это уязвимость средней критичности, которая, тем не менее, может привести к компрометации как посетителей, так и администраторов WordPress-сайтов, использующих JetMenu. Единственный надёжный способ защиты — своевременное обновление плагина до исправленной версии и постоянный контроль за безопасностью публикуемого контента. Администраторам рекомендуется не откладывать установку патча и провести проверку своих ресурсов на предмет возможной эксплуатации.

Источник: CVE Project (cvelistV5)