Уязвимость Stored XSS в WordPress-плагине Waitlist Woocommerce (Back in stock notifier) — CVE-2026-114701

В каталоге CVE Project опубликована информация об уязвимости CVE-2026-114701, затрагивающей популярный WordPress-плагин Waitlist Woocommerce (Back in stock notifier) от разработчика xootix. Плагин используется интернет-магазинами на WooCommerce для организации листов ожидания и уведомлений о поступлении товара в наличие.

Подробности

Речь идёт об уязвимости класса Stored XSS (Cross-site Scripting), возникающей из-за недостаточной нейтрализации пользовательского ввода при генерации веб-страниц. Оценка по шкале CVSS составляет 6.5 — средний уровень критичности.

Уязвимы все версии плагина Waitlist Woocommerce (Back in stock notifier) вплоть до 2.9.1 включительно. Поскольку XSS-пейлоад сохраняется на сервере (Stored XSS), вредоносный скрипт может срабатывать у других пользователей при просмотре страниц с внедрёнными данными — например, у администраторов магазина или покупателей. Это потенциально позволяет злоумышленнику выполнять действия от имени жертвы, похищать сессионные данные или перенаправлять на сторонние ресурсы.

Что делать

Основная рекомендация — обновить плагин Waitlist Woocommerce (Back in stock notifier) до версии, в которой устранена уязвимость. Проверьте актуальную версию в официальном каталоге WordPress-плагинов и на странице разработчика xootix.

Если обновление пока невозможно, используйте компенсирующие меры: ограничьте доступ к административной части сайта, включите WAF-фильтрацию пользовательского ввода, проведите аудит ранее оставленных заявок и записей листа ожидания на предмет подозрительного содержимого. Также рекомендуется регулярно создавать резервные копии и отслеживать логи на предмет аномальной активности.

Уязвимости XSS в плагинах электронной коммерции традиционно остаются в зоне внимания злоумышленников, поскольку позволяют атаковать администраторов магазинов и их клиентов. Своевременное обновление компонентов сайта и контроль сторонних расширений снижают риск эксплуатации подобных проблем.

Источник: CVE Project (cvelistV5)