CVE-2026-84281: Fancy Product Designer до 6.5.2 уязвим к неаутентифицированному Stored XSS
В плагине Fancy Product Designer для WordPress (версии ≤ 6.5.2) обнаружена уязвимость Stored XSS с оценкой CVSS 7.2 (HIGH). Неаутентифицированный злоумышленник может внедрить произвольный JavaScript через поле productTitle, который выполнится при просмотре заказа администратором. Уязвимость затрагивает все версии плагина вплоть до 6.5.2 включительно.
Подробности
Уязвимости подвержены все версии плагина Fancy Product Designer вплоть до 6.5.2 включительно. Причина — недостаточная санитизация входных данных и экранирование вывода при обработке поля productTitle внутри метаданных позиции заказа '_fpd_data'. Ключевая особенность этой уязвимости — возможность эксплуатации без аутентификации. AJAX-действие fpd_save_order зарегистрировано через хук wp_ajax_nopriv_fpd_save_order, то есть доступно неавторизованным пользователям. При этом проверка nonce и прав доступа (capability check) отсутствует. Применяемая на этапе сохранения функция strip_tags() не обеспечивает должной защиты: атакующий может передать JSON-последовательности unicode-экранирования (например, \u003c и \u003e), которые функция json_decode() при рендеринге заказа в административной панели преобразует обратно в угловые скобки. В результате внедрённый скрипт сохраняется в базе данных и выполняется в браузере администратора при открытии соответствующей страницы заказа. Поскольку тип уязвимости — Stored XSS, для срабатывания полезной нагрузки не требуется взаимодействия с атакующим после внедрения: достаточно, чтобы сотрудник магазина просмотрел заказ. Это открывает возможности для кражи сессионных cookie, выполнения действий от имени администратора и других атак в контексте веб-приложения.Что делать
Основная рекомендация — обновить плагин Fancy Product Designer до версии, в которой уязвимость устранена. Поскольку на момент публикации записи CVE фиксированная версия в ней не указана, следует отслеживать официальные релизы radykal и установить ближайшее доступное обновление. Если обновление невозможно в краткосрочной перспективе, можно рассмотреть следующие меры: - ограничить или отключить обработку AJAX-действия fpd_save_order для неаутентифицированных пользователей на уровне веб-сервера или WAF; - настроить правила WAF для блокировки JSON-запросов, содержащих unicode-последовательности \u003c и \u003e в параметрах заказа; - ограничить доступ к административной панели WordPress по IP-адресам доверенных сотрудников; - включить строгую политику Content Security Policy (CSP) для снижения последствий выполнения внедрённых скриптов. Дополнительно рекомендуется провести проверку уже сохранённых заказов на наличие подозрительного содержимого в поле productTitle и метаданных '_fpd_data'. Итог: уязвимость CVE-2026-84281 позволяет неаутентифицированному злоумышленнику внедрять хранимый JavaScript-код, который выполняется в админпанели WordPress. Учитывая высокий уровень критичности (CVSS 7.2) и отсутствие требований к аутентификации, владельцам сайтов с плагином Fancy Product Designer версий ≤ 6.5.2 следует незамедлительно принять меры — обновить компонент или внедрить компенсирующие контроли.Источник: CVE Project (cvelistV5)