CVE-2026-97319: Stored XSS в WordPress-плагине PowerPress до версии 11.17.2
В WordPress-плагине PowerPress Podcasting от Blubrry обнаружена уязвимость Stored XSS, позволяющая пользователям с ролью contributor и выше внедрять вредоносный код через атрибут блока Podcast Player. Проблема затрагивает все версии ниже 11.17.2 и требует установки обновления.
Подробности
Уязвимость получила идентификатор CVE-2026-97319 и классифицируется как Stored Cross-Site Scripting (XSS). Согласно описанию, плагин PowerPress Podcasting by Blubrry в версиях до 11.17.2 не выполняет санитизацию и экранирование атрибута блока перед его выводом на странице. Это означает, что вредоносный код, внедрённый в атрибут блока Podcast Player, сохраняется в базе данных и впоследствии исполняется в браузере посетителей страницы. Ключевая особенность данной уязвимости — необходимый уровень доступа для эксплуатации. Атаку могут провести пользователи с ролью contributor (автор) и выше. В стандартной конфигурации WordPress роль contributor позволяет создавать и редактировать собственные записи, но не публиковать их. Однако наличие такой роли у злоумышленника или скомпрометированной учётной записи открывает возможность для внедрения вредоносного JavaScript-кода, который сработает при просмотре страницы другими пользователями, включая администраторов. Точное значение CVSS в записи CVE не указано, однако подобные уязвимости Stored XSS с привилегированным доступом обычно оцениваются как высокоопасные, поскольку могут привести к краже сессионных токенов, перенаправлению пользователей на фишинговые ресурсы или выполнению произвольных действий от имени администратора.Что делать
Основная и наиболее надёжная рекомендация — обновить плагин PowerPress Podcasting by Blubrry до версии 11.17.2 или выше. Разработчики уже выпустили исправление, которое устраняет проблему с обработкой атрибута блока Podcast Player. Если по каким-либо причинам обновление невозможно в ближайшее время, следует рассмотреть следующие митигации: — ограничить круг пользователей с ролями contributor и выше, проверив их благонадёжность; — временно отключить плагин, если он не используется критически важным образом; — усилить мониторинг журналов активности пользователей на предмет подозрительных изменений в записях; — применять принцип наименьших привилегий при назначении ролей. Также рекомендуется провести проверку уже существующего контента на наличие внедрённого вредоносного кода, поскольку уязвимость относится к классу Stored XSS и могла быть использована до установки обновления. Итог: CVE-2026-97319 — серьёзная уязвимость Stored XSS в плагине PowerPress Podcasting, эксплуатация которой возможна пользователями с ролью contributor и выше. Единственный надёжный способ защиты — обновление до версии 11.17.2. Администраторам сайтов на WordPress следует незамедлительно проверить наличие плагина и его версию.Источник: CVE Project (cvelistV5)