Уязвимость Stored XSS в WordPress-плагине WPAdverts (CVE-2026-97263)
В плагине WPAdverts для WordPress обнаружена уязвимость Stored XSS (CVE-2026-97263) с оценкой CVSS 7.1 (HIGH). Проблема затрагивает версии плагина до 2.3.4 включительно. Злоумышленник может внедрить вредоносный JavaScript-код, который будет выполняться в браузерах пользователей сайта.
Подробности
Согласно описанию CVE, проблема вызвана некорректной обработкой входных данных (Improper Neutralization of Input During Web Page Generation). Это позволяет реализовать атаку типа Stored XSS: вредоносный код сохраняется на сервере (например, в полях объявления или иных пользовательских данных) и затем отображается другим посетителям сайта без должной санитизации. Уязвимы все версии WPAdverts начиная с неустановленной ранней (n/a) и заканчивая 2.3.4 включительно. Поскольку плагин используется для размещения объявлений, где пользователи могут вводить произвольный контент, риск эксплуатации достаточно высок — злоумышленнику не требуется привилегированный доступ для внедрения полезной нагрузки. Успешная эксплуатация позволяет выполнить произвольный JavaScript в контексте браузера жертвы. Это может привести к краже сессионных cookie, перехвату учётных данных, перенаправлению на фишинговые ресурсы, изменению содержимого страниц или выполнению действий от имени администратора сайта. Оценка CVSS 7.1 отражает высокую степень угрозы, особенно для сайтов с активной пользовательской аудиторией.Что делать
Основная рекомендация — обновить плагин WPAdverts до версии, в которой уязвимость устранена. На момент публикации записи CVE исправленная версия в описании не указана, поэтому следует проверить официальную страницу плагина в репозитории WordPress и установить актуальный релиз. Если обновление пока недоступно, в качестве временных мер защиты рекомендуется: - ограничить возможность публикации объявлений недоверенными пользователями либо перевести приём новых объявлений на режим модерации; - включить строгую очистку и экранирование пользовательского ввода на стороне сервера; - настроить Content Security Policy (CSP), ограничивающую выполнение сторонних скриптов; - использовать WAF с правилами фильтрации XSS-пейлоадов; - регулярно проверять содержимое уже опубликованных объявлений на наличие подозрительных вставок. Также стоит рассмотреть полную замену плагина на поддерживаемую альтернативу, если разработчик не выпускает обновления безопасности.Итог
CVE-2026-97263 — серьёзная уязвимость Stored XSS в WPAdverts, затрагивающая версии до 2.3.4 включительно. Учитывая высокую оценку CVSS (7.1) и широкое распространение плагинов для досок объявлений на WordPress, администраторам сайтов следует незамедлительно проверить наличие WPAdverts в своей установке, обновить его до безопасной версии или применить компенсирующие меры. Игнорирование проблемы может привести к компрометации учётных записей и полному контролю над сайтом со стороны злоумышленника.Источник: CVE Project (cvelistV5)