CVE-2026-83532: Stored XSS в WordPress-плагине Custom Menu Wizard через атрибуты шорткода
В WordPress-плагине Custom Menu Wizard (версии до 3.3.1 включительно) обнаружена уязвимость хранимого межсайтового скриптинга (Stored XSS). Атакующий с правами Contributor и выше может внедрить произвольный JavaScript через атрибуты шорткода, который сработает при просмотре заражённой страницы. Уязвимость затрагивает сайты, где плагин активен и используется несколькими авторами.
Подробности
Уязвимость классифицируется как Stored XSS (CWE-79) — вредоносный код сохраняется в базе данных сайта и выполняется в браузере каждого посетителя заражённой страницы. Согласно описанию CVE, проблема затрагивает пользователей с ролью Contributor (автор) и выше: такой пользователь может добавить в атрибуты шорткода произвольный HTML и JavaScript, который впоследствии будет отрендерен без экранирования. Поскольку шорткод сохраняется в контенте записи, полезная нагрузка становится постоянной и срабатывает при каждом просмотре материала — включая визиты администраторов и редакторов, что повышает риск эскалации привилегий и полного захвата сайта. Точные значения CVSS в записи CVE Project не приводятся. Учитывая требование наличия аутентифицированной учётной записи с правами Contributor, базовый вектор можно охарактеризовать как «средний» по сложности эксплуатации, однако последствия при срабатывании полезной нагрузки на привилегированных пользователях могут быть критическими. Затронуты все версии плагина Custom Menu Wizard по 3.3.1 включительно.Что делать
Основная рекомендация — обновить плагин Custom Menu Wizard до актуальной версии сразу после выпуска патча. Если обновление на данный момент недоступно, следует применить временные меры: - ограничить число пользователей с ролями Contributor и выше, проверив, кому действительно нужны права на публикацию контента; - провести аудит существующих записей, страниц и виджетов на предмет подозрительных шорткодов с необычными атрибутами; - задействовать WAF или средства фильтрации, блокирующие внедрение тегов script в пользовательский контент; - включить мониторинг изменений в контенте и уведомления о правках от непривилегированных авторов; - рассмотреть временное отключение плагина, если функциональность не является критичной для работы сайта. Также стоит проверить логи на предмет попыток эксплуатации и провести ротацию паролей администраторов, если есть подозрение на компрометацию. Итог: уязвимость CVE-2026-83532 относится к классу хранимых XSS и позволяет авторам внедрять исполняемый код в страницы сайта. Наиболее эффективная защита — своевременное обновление плагина и ограничение числа пользователей с правами публикации. До выхода патча следует усилить контроль за контентом и применять компенсирующие меры на уровне WAF.Источник: CVE Project (cvelistV5)