WordPress-плагин YMC Filter уязвим к Stored DOM-Based XSS — CVE-2026-109983

В начале 2026 года исследователи сообщили об уязвимости в популярном WordPress-плагине YMC Filter, предназначенном для организации фильтрации и поиска записей. Проблема получила идентификатор CVE-2026-109983 и затрагивает все версии плагина вплоть до 3.12.19 включительно.

Подробности

Уязвимость относится к классу Stored DOM-Based Cross-Site Scripting (XSS). Причина — недостаточная очистка входных данных и экранирование вывода при обработке параметра post_title. Пользователь с правами автора (Author) и выше может сохранить в этом поле произвольный JavaScript-код, который впоследствии будет выполняться в браузере посетителей при открытии страницы с внедрённым содержимым.

Дополнительный фактор риска связан с REST-эндпоинтом autocomplete: его permission callback безусловно возвращает true. Это означает, что полезная нагрузка срабатывает у любого посетителя сайта — в том числе неаутентифицированного — как только он начинает вводить текст в поисковое поле фильтра YMC. При этом для самого сохранения вредоносного скрипта достаточно лишь уровня Author.

Уязвимости присвоен базовый балл CVSS 6.4, что соответствует категории MEDIUM. Несмотря на умеренную оценку, сочетание сохранённого XSS с общедоступным триггером через поиск делает атаку практически осуществимой на любом сайте, где плагин активен и присутствуют пользователи с правом публикации.

Что делать

Рекомендуется как можно скорее обновить плагин YMC Filter до версии выше 3.12.19 — производитель должен выпустить исправление, устраняющее недостаточную санитизацию и экранирование вывода. Если обновление пока недоступно, следует рассмотреть временные митигации:

• ограничить число пользователей с ролями Author и выше, проверить их учётные записи и активность;
• временно отключить плагин, если его функциональность не критична для работы сайта;
• внедрить дополнительную фильтрацию и экранирование на уровне шаблонов и WAF-правил для REST-запросов autocomplete;
• провести аудит уже опубликованного контента на предмет подозрительных вставок в заголовках записей.

После установки обновления стоит перепроверить записи, созданные пользователями с правом публикации, чтобы исключить сохранённые полезные нагрузки.

Уязвимость CVE-2026-109983 напоминает о важности контроля прав доступа и корректной настройки permission callback для REST-эндпоинтов в WordPress-плагинах. Даже «средняя» по шкале CVSS проблема может стать серьёзной, если её триггер доступен неавторизованным посетителям. Обновление плагина и аудит пользовательских ролей — первоочередные меры защиты.

Источник: CVE Project (cvelistV5)