Reflected XSS в WordPress-плагине Fancy Comments (CVE-2026-110384)
В плагине Fancy Comments для WordPress (версии до 1.2.21 включительно) обнаружена уязвимость отражённого межсайтового скриптинга (Reflected XSS). Проблема затрагивает сайты, использующие этот плагин от Heateor Support, и имеет высокий уровень критичности — CVSS 7.1. Злоумышленник может внедрить вредоносный скрипт через специально сформированный запрос.
Подробности
Уязвимость получила идентификатор CVE-2026-110384 и классифицирована как Cross-site Scripting (XSS) — конкретно отражённый (Reflected) тип. Согласно описанию, проблема вызвана некорректной обработкой входных данных при формировании страницы, что позволяет внедрять и исполнять произвольный JavaScript-код в браузере жертвы. Затронуты версии плагина Fancy Comments WordPress от неуказанной начальной версии (n/a) по 1.2.21 включительно. Уязвимость имеет высокую степень опасности: базовый балл CVSS составляет 7.1 (HIGH). Эксплуатация отражённого XSS обычно требует, чтобы пользователь перешёл по специально подготовленной ссылке, однако последствия могут включать кражу сессионных данных, выполнение действий от имени пользователя и перенаправление на вредоносные ресурсы.Что делать
Основная рекомендация — обновить плагин Fancy Comments WordPress до версии, в которой устранена уязвимость, как только она станет доступна от производителя (Heateor Support). На момент публикации записи CVE исправленная версия в описании не указана, поэтому следует внимательно отслеживать обновления в официальном каталоге плагинов WordPress и на сайте разработчика. Если обновление пока недоступно, в качестве временных мер защиты рекомендуется: ограничить использование плагина или временно деактивировать его, если функциональность комментариев не критична; применять веб-прикладной файрвол (WAF) с правилами фильтрации XSS-векторов; проводить проверку и санитизацию входящих параметров на стороне сервера; а также информировать пользователей сайта о недопустимости перехода по подозрительным ссылкам. Дополнительно стоит провести аудит журналов веб-сервера на предмет подозрительных запросов, содержащих скриптовые конструкции, чтобы своевременно выявить попытки эксплуатации.Итог
CVE-2026-110384 — это высококритичная уязвимость Reflected XSS в плагине Fancy Comments для WordPress, затрагивающая версии до 1.2.21 включительно. Администраторам сайтов на WordPress, использующим данный плагин, следует приоритизировать обновление и усилить защиту до появления официального патча. Своевременное реагирование снижает риск компрометации учётных записей и данных посетителей.Источник: CVE Project (cvelistV5)