CVE-2026-96899: Stored XSS в WordPress-плагине Optima Express IDX
В WordPress-плагине Optima Express IDX обнаружена уязвимость Stored XSS, позволяющая пользователю с минимальными правами (роль Author) внедрить произвольный скрипт в документ. Проблема затрагивает версии 8.6.0–8.7.5 и уже исправлена в 8.7.6.
Подробности
Уязвимость получила идентификатор CVE-2026-96899 и классифицируется как Stored Cross-Site Scripting (XSS). Согласно описанию, плагин Optima Express IDX в версиях до 8.7.6 не выполняет должную нейтрализацию значения скрипта, передаваемого через один из его REST-эндпоинтов. Это значение сохраняется в базе данных, а затем выводится в секцию документа при рендеринге записи. Ключевая опасность заключается в низком пороге эксплуатации: для проведения атаки достаточно иметь роль Author — то есть минимально привилегированную учётную запись, которая обычно есть у внештатных авторов и контент-менеджеров. Злоумышленник с такой ролью может сохранить вредоносный скрипт, который затем будет выполняться в браузере любого посетителя затронутой страницы — включая администраторов сайта. Затронуты версии Optima Express IDX с 8.6.0 по 8.7.5 включительно. Точное значение CVSS в записи CVE не указано, однако подобные случаи Stored XSS с низкими требованиями к привилегиям традиционно оцениваются как высокоопасные: они позволяют похищать сессионные токены, перенаправлять пользователей на фишинговые ресурсы или выполнять действия от имени администратора.Что делать
Основная и наиболее надёжная рекомендация — обновить плагин Optima Express IDX до версии 8.7.6 или более поздней. Именно в этой версии устранена описанная проблема. Если обновление по каким-либо причинам невозможно в ближайшее время, стоит рассмотреть временные меры: - ограничить число учётных записей с ролью Author и ниже, выдать их только доверенным лицам; - провести ревизию существующих пользователей и удалить неактуальные аккаунты; - включить или усилить Content Security Policy (CSP), чтобы блокировать выполнение inline-скриптов; - использовать WAF с правилами, фильтрующими подозрительные значения параметров на REST-эндпоинтах плагина; - провести поиск уже внедрённых вредоносных скриптов в базе данных (в частности, в сохранённых faq_script-полях). Также рекомендуется проверить журналы активности на предмет подозрительных правок записей пользователями с ролью Author — они могут свидетельствовать о попытке или факте эксплуатации уязвимости.Итог
CVE-2026-96899 — классический пример Stored XSS, где сочетание недостаточной санитизации ввода и низких требований к привилегиям делает уязвимость особенно опасной для сайтов с открытой регистрацией авторов. Единственное надёжное решение — обновление до Optima Express IDX 8.7.6. До применения патча владельцам сайтов стоит усилить контроль над учётными записями и мониторинг содержимого.Источник: CVE Project (cvelistV5)