Уязвимость хранимого XSS в WordPress-плагине WebP Express (CVE-2026-97328)

В популярном WordPress-плагине WebP Express, предназначенном для автоматической конвертации изображений в формат WebP и их отдачи посетителям, выявлена уязвимость класса Stored XSS. Она получила идентификатор CVE-2026-97328 и затрагивает версии плагина до 0.25.16.

Подробности

Согласно описанию CVE, плагин не экранирует значения, которые встроенный HTML-парсер повторно выводит в атрибуты элементов, когда включён режим доставки изображений, отличный от стандартного (non-default image delivery mode). Это позволяет неаутентифицированным пользователям отправлять контент, который сохраняется на сервере и впоследствии исполняется как Cross-Site Scripting в браузере любого пользователя, просматривающего затронутую страницу, — в том числе администратора сайта.

Ключевые характеристики уязвимости:

• Продукт: WebP Express (плагин для WordPress).
• Затронутые версии: все версии ниже 0.25.16.
• Тип: Stored Cross-Site Scripting (XSS) через HTML-парсер Alter HTML.
• Вектор атаки: сетевой, без необходимости аутентификации.
• Условие эксплуатации: включён нестандартный режим доставки изображений.

Отдельно стоит отметить, что эксплуатация не требует учётной записи на сайте, а вредоносный сценарий может выполняться в сессии администратора, что создаёт риск дальнейшей компрометации ресурса. Значение CVSS в записи CVE не приводится.

Что делать

Основная и наиболее надёжная мера — обновить плагин WebP Express до версии 0.25.16 или более поздней. Перед обновлением рекомендуется создать резервную копию сайта и базы данных.

Дополнительные меры предосторожности:

• Проверьте, какой режим доставки изображений используется на сайте, и оцените необходимость нестандартных настроек.
• Проведите проверку страниц и записей на наличие подозрительного HTML-кода, особенно в полях, доступных для отправки неаутентифицированными пользователями (комментарии, формы обратной связи).
• Ограничьте права администраторов и включите двухфакторную аутентификацию для учётных записей с повышенными привилегиями.
• Настройте мониторинг изменений файлов и журналов веб-сервера для своевременного выявления попыток эксплуатации.

Уязвимость CVE-2026-97328 демонстрирует, насколько важно своевременно обновлять компоненты CMS: сторонние плагины часто становятся точкой входа для атак. Хранимый XSS без требования аутентификации особенно опасен, поскольку позволяет злоумышленнику атаковать администраторов сайта и развивать атаку дальше. Владельцам сайтов на WordPress с установленным WebP Express следует как можно быстрее установить актуальную версию плагина.

Источник: CVE Project (cvelistV5)