CVE-2026-89005: Stored XSS в WPeMatico RSS Feed Fetcher до версии 2.8.26
В плагине WPeMatico RSS Feed Fetcher для WordPress обнаружена уязвимость Stored XSS, позволяющая пользователям с ролью Contributor и выше внедрять вредоносный код через поле конфигурации кампании. Уязвимость затрагивает версии до 2.8.26 и может привести к выполнению скриптов в сессии привилегированных пользователей.
Подробности
Согласно описанию CVE, уязвимость возникает из-за недостаточной очистки и экранирования одного из полей конфигурации кампании при включённой определённой функции. Пользователи с ролью Contributor и выше могут внедрить произвольный JavaScript-код, который сохраняется на сервере и впоследствии выполняется в браузере любого пользователя с более высокими привилегиями, просматривающего кампанию. Тип уязвимости: Stored Cross-Site Scripting (CWE-79). Вектор атаки — сетевой (AV:N), уровень сложности низкий (AC:L), требуются минимальные привилегии (PR:L), необходимо взаимодействие с интерфейсом со стороны жертвы (UI:R). Уязвимость позволяет изменить область видимости данных (S:C) и оказать существенное влияние на конфиденциальность и целостность (C:H/I:H), тогда как влияние на доступность оценивается как низкое (A:N). Итоговая базовая оценка CVSS v3.1 составляет 8.0 (High). Эксплуатация возможна только при условии, что в настройках плагина активирована соответствующая функция, связанная с обработкой полей кампании. Злоумышленник с правами Contributor может создать или изменить кампанию и внедрить в уязвимое поле вредоносный скрипт. При последующем просмотре этой кампании администратором, редактором или другим привилегированным пользователем скрипт выполнится в его сессии, что открывает путь к краже cookie, перехвату токенов, изменению настроек сайта или созданию новых административных учётных записей.Что делать
Разработчики плагина выпустили исправление в версии 2.8.26. Рекомендуется немедленно обновить WPeMatico RSS Feed Fetcher до указанной версии или более поздней. Проверить актуальную версию можно в административной панели WordPress в разделе «Плагины». Если обновление невозможно в кратчайшие сроки, следует рассмотреть следующие временные меры: - ограничить количество пользователей с ролью Contributor и выше, а также провести ревизию существующих учётных записей; - временно отключить функцию обработки поля кампании, если она не является критически важной для работы сайта; - установить WAF (Web Application Firewall) с правилами для фильтрации XSS-векторов в запросах к административной части WordPress; - регулярно проверять логи на предмет подозрительной активности пользователей с низкими привилегиями. Также важно провести аудит существующих кампаний на предмет наличия внедрённого вредоносного кода, особенно если сайт использовал уязвимую версию плагина длительное время. Итог: CVE-2026-89005 представляет серьёзную угрозу для сайтов на WordPress, использующих WPeMatico RSS Feed Fetcher. Комбинация относительно низких требований к привилегиям атакующего и высокого потенциального ущерба делает своевременное обновление до версии 2.8.26 критически важным. Владельцам сайтов следует не только обновить плагин, но и провести проверку на предмет возможной компрометации.Источник: CVE Project (cvelistV5)