Stored XSS в WordPress-плагине VOD Infomaniak (CVE-2026-114695)
В плагине VOD Infomaniak для WordPress обнаружена уязвимость Stored XSS с оценкой CVSS 7.1 (HIGH). Проблема затрагивает версии до 1.5.14 включительно и позволяет внедрять вредоносный код на страницы сайта. Владельцам сайтов на WordPress с этим плагином рекомендуется срочно обновить компонент.
Подробности
Уязвимость классифицируется как Stored XSS (Cross-site Scripting, «межсайтовый скриптинг» с сохранением) — тип CWE-79. По шкале CVSS ей присвоена оценка 7.1, что соответствует высокому уровню опасности. Уязвимы все версии плагина VOD Infomaniak от неуказанной начальной (n/a) вплоть до 1.5.14 включительно. Причина — некорректная обработка входных данных при формировании HTML-страниц: вредоносный скрипт, попавший в хранилище (например, через поля, доступные пользователю), впоследствии исполняется в браузере других посетителей сайта или администраторов. Stored XSS особенно опасен тем, что полезная нагрузка сохраняется на сервере и срабатывает при каждом открытии заражённой страницы, а не только в момент эксплуатации. Практические последствия могут включать кражу сессионных cookie и учётных данных, действия от имени администратора, подмену содержимого страниц и перенаправление пользователей на сторонние ресурсы.Что делать
Основная рекомендация — обновить плагин VOD Infomaniak до версии, в которой устранена уязвимость. Если на момент прочтения исправленная версия ещё не выпущена, следует рассмотреть временные митигации: - ограничить доступ к административной панели WordPress по IP или через дополнительную аутентификацию; - проверить сайт на наличие подозрительных вставок и вредоносных скриптов, особенно в областях, где плагин выводит данные; - рассмотреть временное отключение плагина, если его функциональность не критична; - настроить корректную политику Content Security Policy (CSP) для снижения риска исполнения внедрённых скриптов; - обеспечить регулярное резервное копирование и мониторинг целостности файлов. Также стоит проверить журналы доступа и события администраторов на предмет аномальной активности за период, когда уязвимая версия была активна. Итог: CVE-2026-114695 — серьёзная уязвимость Stored XSS в плагине VOD Infomaniak для WordPress с высоким рейтингом CVSS 7.1. Владельцам сайтов, использующим этот плагин версий до 1.5.14 включительно, необходимо как можно быстрее обновиться до исправленной версии и провести проверку сайта на компрометацию.Источник: CVE Project (cvelistV5)