CVE-2026-95864: Themify Builder до 7.8.1 уязвим к неаутентифицированному хранимому XSS
В плагине Themify Builder для WordPress обнаружена уязвимость хранимого межсайтового скриптинга (Stored XSS) с оценкой CVSS 7.2 (HIGH). Атаку может провести неаутентифицированный злоумышленник, внедрив вредоносный скрипт через параметр 'css[fonts]'. Уязвимы все версии плагина до 7.8.1 включительно.
Подробности
Уязвимость представляет собой хранимый межсайтовый скриптинг (Stored Cross-Site Scripting) и затрагивает все версии Themify Builder до 7.8.1 включительно. Причиной стала недостаточная очистка входных данных и экранирование вывода при обработке параметра 'css[fonts]'. Ключевая особенность этой уязвимости — возможность эксплуатации без аутентификации. Обычно для достижения уязвимых эндпоинтов требуется действующая сессия пользователя или права администратора. Однако в данном случае необходимый nonce (одноразовый токен) открыто встроен в разметку фронтенд-страницы и доступен любому посетителю сайта. Фактически это превращает защиту из полноценного барьера аутентификации в обычный CSRF-токен, который не препятствует неаутентифицированному злоумышленнику. В результате атакующий может внедрить произвольный вредоносный скрипт в страницы сайта. Этот код будет выполняться в браузере каждого пользователя, открывшего заражённую страницу. Это открывает широкий спектр сценариев атаки: от кражи сессионных cookie и учётных данных до перенаправления посетителей на фишинговые ресурсы, скрытой загрузки вредоносного ПО или выполнения действий от имени администратора сайта.Что делать
Основная рекомендация — как можно скорее обновить плагин Themify Builder до версии, в которой уязвимость устранена (выше 7.8.1). Производитель плагина должен выпустить соответствующий патч; до его выхода сайт остаётся под угрозой. Если обновление невозможно незамедлительно, стоит рассмотреть временные меры: — ограничить доступ к уязвимому эндпоинту на уровне WAF, заблокировав подозрительные запросы с параметром 'css[fonts]'; — использовать веб-application firewall с правилами для фильтрации XSS-пейлоадов; — регулярно проверять контент страниц и базу данных на наличие внедрённых скриптов; — усилить мониторинг журналов доступа на предмет аномальных POST-запросов к административным и фронтенд-эндпоинтам плагина. Важно понимать, что после эксплуатации уязвимости вредоносный код сохраняется в базе данных, поэтому простое обновление плагина не удалит уже внедрённые скрипты. Потребуется дополнительная очистка заражённых записей и страниц. Итог: CVE-2026-95864 — серьёзная угроза для сайтов на WordPress, использующих Themify Builder версий до 7.8.1 включительно. Уязвимость позволяет неаутентифицированному атакующему внедрять хранимые скрипты, что делает её опасной и легко эксплуатируемой. Владельцам сайтов следует немедленно обновить плагин и провести проверку на предмет компрометации.Источник: CVE Project (cvelistV5)