CVE-2026-92767: Stored XSS в WordPress-плагине Twenty20 Image Before-After
В WordPress-плагине Twenty20 Image Before-After (версии до 2.0.5 включительно) обнаружена уязвимость Stored XSS через атрибут 'offset' шорткода. Эксплуатация возможна аутентифицированным пользователем с ролью Contributor и выше. Уровень опасности — средний (CVSS 6.4).
Подробности
Уязвимости подвержены все версии плагина Twenty20 Image Before-After вплоть до 2.0.5 включительно. Причиной стала недостаточная очистка входных данных и экранирование вывода при обработке атрибута 'offset' шорткода. Атакующий, имеющий учётную запись с ролью Contributor или выше, может внедрить произвольный JavaScript-код на страницы сайта. Вредоносный скрипт будет сохранён в базе данных и выполнится в браузере любого пользователя, открывшего заражённую страницу — включая администраторов и посетителей. Это создаёт риски кражи сессионных cookie, подмены контента, перенаправления на фишинговые ресурсы и выполнения действий от имени жертвы. Уязвимости присвоен базовый балл CVSS 6.4, что соответствует среднему уровню опасности. Стоит отметить, что для эксплуатации требуется аутентификация, однако роль Contributor доступна на многих ресурсах с открытой регистрацией авторов или в командах с большим числом сотрудников. Данный CVE относится к категории проблем Stored XSS, которые традиционно считаются более опасными, чем отражённые, из-за длительного срока жизни вредоносного кода.Что делать
Главная рекомендация — как можно скорее обновить плагин Twenty20 Image Before-After до версии, в которой устранена уязвимость. На момент публикации CVE информация о релизе с исправлением может уточняться у производителя — zayedbaloch. До выхода патча можно применить следующие меры: - временно деактивировать плагин, если он не критичен для работы сайта; - ограничить регистрацию новых пользователей и пересмотреть роли существующих авторов; - усилить контроль над учётными записями уровня Contributor и выше; - использовать WAF с правилами фильтрации вредоносных шорткодов и XSS-векторов; - регулярно проверять контент страниц и записи на наличие подозрительных скриптов. Также стоит провести аудит уже опубликованных материалов: если сайт был скомпрометирован, вредоносный код может оставаться в базе данных даже после обновления плагина. Итог: CVE-2026-92767 — типичный пример рисков, связанных со сторонними расширениями WordPress. Даже при среднем балле CVSS подобные уязвимости требуют оперативной реакции: обновление, ограничение прав пользователей и мониторинг контента помогут снизить риск эксплуатации.Источник: CVE Project (cvelistV5)