Stored XSS в WordPress-плагине Strong Testimonials (CVE-2026-107435)

В каталоге CVE опубликована информация об уязвимости CVE-2026-107435 в популярном WordPress-плагине Strong Testimonials от разработчика WP Chill. Это плагин для сбора и отображения отзывов, который используется на множестве сайтов под управлением WordPress.

Подробности

Уязвимость относится к классу «Improper Neutralization of Input During Web Page Generation», более известному как хранимый межсайтовый скриптинг (Stored XSS). Проблема возникает из-за недостаточной нейтрализации пользовательского ввода при генерации веб-страниц. В результате злоумышленник может внедрить вредоносный скрипт, который сохраняется в системе и выполняется в браузерах посетителей или администраторов сайта при просмотре затронутых страниц.

Уязвимости подвержены версии Strong Testimonials до 3.3.12 включительно. Оценка по шкале CVSS составляет 7.1, что соответствует высокому уровню опасности. Отметим, что эксплуатировать хранимый XSS в плагинах отзывов могут как внешние атакующие (через формы отправки отзывов), так и пользователи с ограниченными привилегиями — в зависимости от вектора доставки вредоносного ввода. Последствия успешной атаки могут включать кражу сессионных данных, действия от имени администратора и компрометацию сайта в целом.

Что делать

Рекомендуется в первую очередь проверить установленную версию плагина Strong Testimonials. Если она не превышает 3.3.12, следует как можно скорее обновить плагин до актуальной версии, в которой проблема устранена, — через панель администратора WordPress или вручную.

Если немедленное обновление невозможно, целесообразно рассмотреть временные меры: ограничить возможность отправки отзывов неаутентифицированными пользователями, включить модерацию всех новых отзывов, а также усилить контроль за учётными записями с правами администратора. Дополнительно стоит применять веб-application firewall (WAF) с правилами фильтрации XSS-нагрузок и регулярно проверять журналы на предмет подозрительной активности.

Несмотря на то что уязвимость требует наличия вектора внедрения данных, хранимый XSS остаётся одним из наиболее опасных типов атак для сайтов на CMS: внедрённый код сохраняется надолго и может срабатывать у каждого посетителя. Своевременное обновление плагинов — базовый, но наиболее эффективный способ защиты.

Источник: CVE Project (cvelistV5)