CVE-2026-5399: Stored XSS в Redux Framework через поле Slider
В плагине Redux Framework для WordPress обнаружена уязвимость Stored Cross-Site Scripting (CVE-2026-5399), затрагивающая версии вплоть до 4.5.13.1 включительно. Атакующий с минимальными правами (Subscriber+) может внедрить вредоносный скрипт в свой профиль, который сработает при просмотре профиля администратором. Уровень опасности по CVSS — 6.4 (MEDIUM).
Подробности
Уязвимость получила идентификатор CVE-2026-5399 и оценку 6.4 (MEDIUM) по шкале CVSS. Затронуты версии Redux Framework вплоть до 4.5.13.1 включительно (продукт davidanderson Redux Framework). Тип уязвимости — Stored Cross-Site Scripting (XSS) через поле Slider в настройках профиля пользователя. Причина проблемы кроется в нескольких местах кода. Функция user_meta_save() выполняет недостаточную санитизацию входных данных: очищаются только значения-массивы, тогда как скалярные значения остаются без должной обработки. Дополнительно метод Redux_Slider::render() выводит значения слайдера в HTML-атрибуты без кавычек и без корректного экранирования, что позволяет внедрить произвольную разметку. Ещё одна деталь делает эксплуатацию возможной: метод clean_default() приводит значения к числовому типу только тогда, когда они пусты или выходят за допустимые границы. Из-за нестрогого сравнения типов в PHP строки вида «1 tabindex=0 autofocus onfocus=alert(1) x=» успешно проходят валидацию. В результате аутентифицированный пользователь с ролью Subscriber и выше может сохранить в своём профиле вредоносный скрипт, который выполнится в браузере администратора при открытии страницы профиля атакующего.Что делать
Основная рекомендация — обновить Redux Framework до версии, в которой устранена уязвимость (проверьте наличие патча у разработчика плагина). Если обновление пока невозможно, следует рассмотреть следующие меры: — ограничить регистрацию и число пользователей с низкими привилегиями, если это допустимо для проекта; — применять принцип наименьших привилегий и не предоставлять роли Subscriber без необходимости; — использовать WAF или средства фильтрации, блокирующие подозрительные значения в полях профиля; — регулярно проверять учётные записи пользователей и содержимое их метаданных на предмет подозрительных вставок; — следить за официальными уведомлениями вендора о выпуске исправления.Итог
CVE-2026-5399 — классический пример stored XSS, эксплуатируемого через цепочку слабых мест: недостаточная санитизация, небезопасный вывод в атрибуты и особенности нестрогой типизации PHP. Несмотря на средний уровень критичности, уязвимость позволяет низкопривилегированному пользователю атаковать администратора сайта, что может привести к компрометации всей установки WordPress. Своевременное обновление плагина и минимизация числа привилегированных действий со стороны непривилегированных пользователей существенно снижают риск.Источник: CVE Project (cvelistV5)