Уязвимость Stored XSS в European VAT Compliance Assistant for WooCommerce (CVE-2026-100316)

В июне 2026 года в каталоге CVE опубликована информация об уязвимости CVE-2026-100316 в популярном плагине для WordPress — European VAT Compliance Assistant for WooCommerce от разработчика davidanderson. Проблема относится к классу Stored Cross-Site Scripting (XSS) и затрагивает все версии плагина до 1.36.10 включительно.

Подробности

Уязвимость возникает из-за недостаточной очистки входных данных и экранирования вывода при обработке HTTP-заголовка CF-IPCountry. Этот заголовок обычно устанавливается CDN Cloudflare и содержит код страны клиента. В уязвимых версиях плагина значение заголовка без должной санитизации записывается в метаданные заказа (order post-meta) в момент гостевого оформления покупки.

Ключевая опасность заключается в том, что для эксплуатации не требуется аутентификация: любой посетитель сайта, способный инициировать гостевой чекаут и подменить заголовок CF-IPCountry, может сохранить в базе произвольный JavaScript-код. Впоследствии этот код будет исполняться в браузере администратора или иного пользователя, открывшего страницу с внедрённой полезной нагрузкой. Это позволяет красть сессионные данные, выполнять действия от имени администратора и развивать атаку дальше — например, внедрять дополнительные бэкдоры.

Уязвимости присвоен рейтинг CVSS 7.2, что соответствует уровню HIGH. Затронутый продукт: European VAT Compliance Assistant for WooCommerce, все версии ≤ 1.36.10.

Что делать

• Обновить плагин European VAT Compliance Assistant for WooCommerce до версии выше 1.36.10, как только она станет доступна. Проверьте наличие исправления у вендора и следите за официальными уведомлениями.
• Если обновление пока невозможно, рассмотрите временную митигацию: ограничьте возможность гостевого оформления заказов либо настройте WAF/обратный прокси для строгой валидации заголовка CF-IPCountry (допустимы только корректные двухбуквенные коды стран).
• Проведите аудит существующих заказов и метаданных на предмет подозрительных значений, содержащих HTML/JavaScript.
• Включите или усильте Content Security Policy (CSP) для снижения последствий возможной XSS-эксплуатации.

Учитывая отсутствие требования аутентификации и высокую распространённость WooCommerce, уязвимость заслуживает приоритетного внимания со стороны администраторов интернет-магазинов. Рекомендуется как можно быстрее обновить плагин и проверить журналы на предмет подозрительной активности.

Источник: CVE Project (cvelistV5)