WordPress-плагин SureDash уязвим к Stored XSS через параметр display_name (CVE-2026-96870)
В плагине SureDash для WordPress (версии до 1.12.0 включительно) обнаружена уязвимость хранимого межсайтового скриптинга (Stored XSS). Атакующий с правами подписчика и выше может внедрить вредоносный скрипт, который срабатывает при наведении курсора на счётчик лайков комментария. Уровень опасности — средний (CVSS 6.4).
Подробности
Уязвимость получила идентификатор CVE-2026-96870 и классифицируется как Authenticated (Subscriber+) Stored Cross-Site Scripting. Опасность затрагивает все версии плагина вплоть до 1.12.0 включительно. Причина проблемы — недостаточная очистка входных данных и экранирование вывода при обработке параметраdisplay_name. Аутентифицированный злоумышленник с минимальными правами (уровень подписчика и выше) может сохранить в этом параметре произвольный веб-скрипт. Впоследствии полезная нагрузка внедряется в страницы и исполняется в браузере других пользователей при их обращении к заражённой странице.
Особенность эксплуатации связана с механизмом всплывающих подсказок плагина. Триггером служит наведение курсора на счётчик лайков комментария на странице сообщества. Обработчик тултипа присваивает значение атрибута data-tooltip-description, контролируемое атакующим, напрямую в innerHTML. В результате браузер повторно разбирает декодированную HTML-сущность как живой HTML, что и приводит к исполнению внедрённого кода.
Базовый показатель CVSS 3.1 составляет 6.4, что соответствует среднему уровню критичности. Уязвимость требует наличия учётной записи, однако низкий порог прав (подписчик) и хранимый характер XSS повышают практическую ценность атаки для злоумышленников.
Что делать
Главная рекомендация — обновить плагин SureDash до версии, в которой уязвимость устранена. На момент публикации записи CVE информация о конкретной исправленной версии в источнике не приводится, поэтому следует отслеживать релизы на официальной странице плагина и у разработчика brainstormforce. Если обновление пока невозможно, в качестве временных мер защиты стоит рассмотреть:- ограничение регистрации новых пользователей и пересмотр ролей с правами подписчика и выше;
- применение WAF-правил для фильтрации подозрительных значений в параметре
display_name; - мониторинг комментариев и профилей пользователей на предмет внедрённых скриптов;
- регулярный аудит установленных плагинов и удаление неиспользуемых.
Итог
CVE-2026-96870 — наглядный пример того, как небезопасная работа с DOM (присваивание значений вinnerHTML) превращает безобидный параметр профиля в вектор stored XSS. Владельцам сайтов на WordPress с установленным SureDash версий до 1.12.0 включительно следует как можно скорее обновить плагин и усилить контроль за пользовательским контентом.
Источник: CVE Project (cvelistV5)