WordPress Education Center <= 3.6.12 — Reflected XSS (CVE-2026-94063)
В теме Education Center для WordPress от ThemeREX обнаружена уязвимость Reflected XSS с оценкой CVSS 7.1 (HIGH). Проблема затрагивает версии до 3.6.12 включительно и позволяет злоумышленнику внедрять произвольный JavaScript-код в страницы сайта. Владельцам сайтов на этой теме следует срочно обновить компонент.
Подробности
Уязвимость относится к классу Reflected Cross-Site Scripting (XSS) и возникает из-за некорректной обработки входных данных при формировании HTML-страниц. Согласно описанию CVE, проблема присутствует в теме Education Center начиная с неуказанной версии и заканчивая 3.6.12 включительно. Продукт: ThemeREX Education Center. Reflected XSS означает, что вредоносный сценарий не сохраняется на сервере постоянно, а «отражается» от него — то есть внедряется в ответ сервера на основе переданного запроса. Это позволяет атакующему сформировать специальную ссылку, при переходе по которой у жертвы в браузере выполнится произвольный JavaScript-код в контексте уязвимого сайта. Последствия могут включать кражу сессионных данных, подмену содержимого страниц, перенаправление пользователей на фишинговые ресурсы, а также выполнение действий от имени авторизованного пользователя. Оценка CVSS 7.1 (HIGH) отражает серьёзность проблемы: для эксплуатации, как правило, требуется взаимодействие с пользователем (переход по ссылке), но успешная атака способна привести к существенному ущербу. Особую обеспокоенность вызывает тот факт, что тема используется преимущественно на сайтах образовательных учреждений и обучающих платформ, где зачастую обрабатываются персональные данные студентов, преподавателей и слушателей. На момент публикации записи CVE информация о наличии эксплойта в открытых источниках не приводится, однако уязвимости класса XSS традиционно активно используются злоумышленниками из-за относительной простоты эксплуатации.Что делать
Основная рекомендация — как можно скорее обновить тему Education Center до версии, в которой устранена уязвимость. Следует проверить актуальную версию продукта у разработчика ThemeREX и установить доступное исправление. Если официальный патч на момент прочтения ещё не выпущен, целесообразно рассмотреть следующие меры: - временно отключить или заменить тему на альтернативную, если она не критична для работы сайта; - настроить межсетевой экран веб-приложений (WAF) с правилами фильтрации XSS-векторов и подозрительных параметров запросов; - ограничить или отключить возможность публикации ссылок с параметрами, если это применимо к функционалу темы; - регулярно проверять официальные каналы ThemeREX и базы уязвимостей на предмет выхода обновления. Также рекомендуется провести аудит сайта на предмет признаков компрометации: необычные скрипты в исходном коде страниц, подозрительные редиректы, изменения в шаблонах темы. Итог: CVE-2026-94063 — серьёзная уязвимость Reflected XSS в теме Education Center для WordPress, затрагивающая версии до 3.6.12 включительно. Учитывая высокий уровень опасности и специфику аудитории образовательных сайтов, обновление темы или применение компенсирующих мер должно быть выполнено в приоритетном порядке. Регулярное обновление компонентов WordPress остаётся базовой практикой защиты от подобных угроз.Источник: CVE Project (cvelistV5)