Уязвимость DOM-based XSS в WordPress-плагине JetEngine (CVE-2026-97237)
В плагине JetEngine для WordPress обнаружена уязвимость DOM-based XSS с оценкой CVSS 7.1 (HIGH). Проблема затрагивает версии до 3.8.14.3 включительно и позволяет злоумышленнику выполнить произвольный JavaScript в браузере пользователя. Владельцам сайтов на JetEngine рекомендуется как можно скорее обновиться.
Подробности
Уязвимость затрагивает плагин Crocoblock JetEngine — инструмент для создания кастомных типов записей, таксономий и динамических шаблонов в WordPress. Под удар попадают все версии плагина до 3.8.14.3 включительно (диапазон «from n/a through 3.8.14.3»). Тип уязвимости — Improper Neutralization of Input During Web Page Generation, конкретнее DOM-based Cross-site Scripting. При DOM-based XSS вредоносный код не проходит через сервер: полезная нагрузка обрабатывается на стороне клиента, из-за чего традиционные серверные фильтры могут её не отловить. Оценка CVSS составляет 7.1, что соответствует уровню HIGH. Практический риск: злоумышленник, способный повлиять на данные, обрабатываемые на странице, может добиться выполнения произвольного JavaScript в браузере жертвы — например, администратора сайта. Это открывает путь к краже сессионных cookie, подмене содержимого страниц и выполнению действий от имени пользователя.Что делать
Основная рекомендация — обновить JetEngine до версии выше 3.8.14.3, как только производитель выпустит исправление. Перед обновлением обязательно сделайте резервную копию сайта и протестируйте изменения на стенде. Если немедленное обновление невозможно, примените компенсирующие меры:- ограничьте доступ к административной панели WordPress по IP-адресам;
- включите и настройте WAF с правилами фильтрации XSS-нагрузок;
- проверьте права пользователей и уберите лишние привилегии;
- включите Content Security Policy (CSP) для снижения последствий внедрения скриптов.
Источник: CVE Project (cvelistV5)