WordPress Voldor <= 1.0.0: отражённый XSS (CVE-2026-94060)
В теме Voldor для WordPress (версии до 1.0.0 включительно) обнаружена уязвимость отражённого межсайтового скриптинга (Reflected XSS), оцененная в 7.1 балла по шкале CVSS (HIGH). Проблема затрагивает сайты, использующие тему Voldor от разработчика Bracketweb. Эксплуатация позволяет злоумышленнику выполнить произвольный JavaScript в браузере жертвы.
Подробности
Уязвимость классифицируется как Improper Neutralization of Input During Web Page Generation, что соответствует категории CWE-79 («Cross-site Scripting»). В данном случае речь идёт об отражённом XSS: вредоносный скрипт внедряется через входные параметры запроса и «отражается» в ответе сервера, не будучи корректно экранированным. Затронуты все версии темы Voldor от Bracketweb в диапазоне от n/a до 1.0.0 включительно. Поскольку на момент публикации записи сведения о более новых версиях отсутствуют, администраторам следует исходить из того, что уязвим весь актуальный ряд релизов. CVSS-оценка 7.1 (HIGH) отражает серьёзную степень риска. Отражённый XSS обычно требует взаимодействия с пользователем — например, перехода по специально сформированной ссылке. Однако при успешной эксплуатации атакующий может: - выполнить произвольный JavaScript в контексте уязвимого сайта; - похитить сессионные cookie или токены аутентификации; - перенаправить жертву на фишинговый ресурс; - выполнить действия от имени пользователя, включая администратора. Наиболее опасен сценарий, при котором ссылку открывает авторизованный администратор: в этом случае злоумышленник способен получить контроль над сайтом.Что делать
В первую очередь рекомендуется проверить, используется ли на вашем WordPress-сайте тема Voldor. Если да — следует отслеживать выпуск обновлённой версии у разработчика Bracketweb и установить её незамедлительно после появления. На момент публикации патч не упоминается, поэтому обновление может быть недоступно. Если исправленная версия отсутствует, рассмотрите следующие митигации: - временно откажитесь от использования уязвимой темы в пользу альтернативной с поддержкой безопасности; - настройте WAF (Web Application Firewall) с правилами фильтрации XSS-векторов; - ограничьте переходы администраторов по внешним ссылкам и проверяйте URL перед открытием; - включите строгую политику Content Security Policy (CSP) для снижения последствий внедрения скриптов; - регулярно проводите аудит установленных тем и плагинов на предмет известных уязвимостей. Итог: CVE-2026-94060 — высокорисковая уязвимость отражённого XSS в теме Voldor для WordPress вплоть до версии 1.0.0. До выхода официального патча владельцам сайтов стоит применить компенсирующие меры защиты и внимательно относиться к подозрительным ссылкам. Отслеживайте обновления от Bracketweb и оперативно устанавливайте исправления.Источник: CVE Project (cvelistV5)