CVE-2026-89269: Stored XSS в WP Testimonials через шорткод wp-testimonials

В экосистеме WordPress регулярно появляются уязвимости в плагинах, и очередная из них затрагивает популярное решение для отображения отзывов — WP Testimonials. Проблема получила идентификатор CVE-2026-89269 и классифицируется как Stored XSS (хранимая межсайтовая скриптовая атака). Особенность случая в том, что для эксплуатации достаточно учётной записи с ролью Author — то есть уровня, который обычно считается относительно безопасным и часто выдаётся контент-менеджерам и авторам публикаций.

Подробности

Уязвимость затрагивает плагин WP Testimonials во всех версиях до 1.4.13 включительно. Суть проблемы: плагин не выполняет должного экранирования содержимого отзывов, а при рендеринге через шорткод wp-testimonials фактически обращает вспять штатную HTML-санитизацию WordPress. В результате пользователь с ролью Author или выше может сохранить в отзыве произвольный JavaScript-код, который затем будет исполнен в браузере любого посетителя страницы с отзывами — включая администратора сайта. Поскольку речь идёт о хранимом (stored) типе XSS, полезная нагрузка сохраняется на сервере и срабатывает при каждом просмотре затронутой страницы. Это делает атаку особенно опасной: злоумышленнику не нужно заманивать жертву по специальной ссылке. Если JavaScript выполнится в сессии администратора, атакующий может, например, создать новых привилегированных пользователей, изменить настройки, внедрить бэкдоры или перенаправить посетителей на фишинговые ресурсы. Числовое значение CVSS в записи CVE не указано, однако характер уязвимости (Stored XSS с эскалацией до администратора) позволяет отнести её к категории высокой критичности.

Что делать

Основная рекомендация — обновить WP Testimonials до версии, в которой уязвимость устранена (версия выше 1.4.13). Если производитель ещё не выпустил патч, следует рассмотреть временные меры:

• временно деактивировать плагин, если он не критичен для работы сайта;
• ограничить роли, способные публиковать отзывы, либо пересмотреть права существующих пользователей с ролью Author и выше;
• удалить или проверить ранее сохранённые отзывы на предмет подозрительного HTML/JavaScript-кода;
• внедрить строгую Content Security Policy (CSP) для снижения риска выполнения внедрённых скриптов;
• усилить мониторинг активности административных сессий и журналов изменений контента.

Также стоит пересмотреть общую политику выдачи ролей: если задачи пользователя не требуют публикации контента, роль Author можно понизить до Contributor, что ограничит возможность сохранения произвольного кода в отзывах. Итог: CVE-2026-89269 — серьёзная уязвимость Stored XSS в WP Testimonials, позволяющая относительно низкопривилегированному пользователю атаковать администраторов сайта. Наиболее эффективная мера защиты — своевременное обновление плагина и аудит уже сохранённого контента. Компаниям, использующим WordPress, рекомендуется держать плагины под регулярным контролем обновлений и минимизировать число пользователей с расширенными правами.

Источник: CVE Project (cvelistV5)