GSpeech TTS до 3.22.0: неавторизованный Stored XSS через комментарии (CVE-2026-96578)
В WordPress-плагине GSpeech TTS (Text To Speech) всех версий до 3.22.0 включительно обнаружена уязвимость Stored XSS через содержимое комментариев. Из-за недостаточной очистки входных данных и экранирования вывода неавторизованный атакующий может внедрить произвольный веб-скрипт, который выполнится при посещении страницы пользователем. Уязвимости присвоен высокий уровень опасности — CVSS 7.2.
Подробности
Уязвимый продукт — GSpeech TTS – WordPress Text To Speech Plugin от разработчика creative-solutions-1. Уязвимость вызвана недостаточной очисткой входных данных (input sanitization) и экранированием вывода (output escaping), что позволяет неавторизованному злоумышленнику внедрять произвольные веб-скрипты в страницы. Вредоносный код срабатывает всякий раз, когда пользователь открывает заражённую страницу. Особенность данной уязвимости в том, что она относится к mXSS-подобному классу преобразований (mXSS-style transform) и обходит стандартную санитизацию комментариев WordPress kses. Атакующий сохраняет полезную нагрузку, используя только разрешённые kses-теги и атрибуты, поэтому на этапе сохранения она выглядит безобидной. Вредоносные обработчики событий и фрагменты стилей активируются лишь позже — в момент, когда callback output-buffer самого плагина перезаписывает отрендеренный HTML во время обработки запроса. Уязвимости присвоен идентификатор CVE-2026-96578 и базовый балл CVSS 7.2, что соответствует высокому уровню опасности. Эксплуатация не требует учётных данных, что расширяет круг потенциальных атакующих.Что делать
Основная рекомендация — отслеживать выпуск обновления плагина GSpeech TTS и установить версию выше 3.22.0 сразу после её публикации. До выхода патча целесообразно рассмотреть временные митигации: ограничить или временно отключить функциональность, связанную с обработкой комментариев и выводом озвучивания на страницах, а также усилить мониторинг подозрительной активности в комментариях. Дополнительно стоит проверять уже сохранённый контент комментариев на наличие подозрительных конструкций, которые могли активироваться при рендеринге, и применять общие практики защиты WordPress — своевременные обновления, принцип наименьших привилегий и веб-application firewall (WAF). Итог: CVE-2026-96578 — серьёзная уязвимость Stored XSS в плагине GSpeech TTS, эксплуатируемая без аутентификации и способная обходить штатную санитизацию комментариев WordPress. Владельцам сайтов на WordPress с установленным этим плагином следует приоритизировать обновление до версии выше 3.22.0 и до его выхода применять компенсирующие меры защиты.Источник: CVE Project (cvelistV5)