Уязвимость хранимого XSS в WordPress-плагине Weglot (CVE-2026-88784)

В плагине для WordPress Translate WordPress with Weglot 2.0 выявлена уязвимость, связанная с недостаточной очисткой данных при обработке ссылок на переведённых страницах. Проблема получила идентификатор CVE-2026-88784 и относится к классу хранимого межсайтового скриптинга (Stored XSS).

Подробности

Уязвимости подвержены версии плагина Translate WordPress with Weglot 2.0 до 6.4.3. При перезаписи ссылок для переведённой языковой версии страницы плагин вставляет URL обратно в страницу, не экранируя их должным образом. Более того, он отменяет кодирование, которое было применено к этим URL ранее. В результате неаутентифицированный пользователь может сохранить полезную нагрузку, которая затем будет исполняться в браузере любого посетителя, просматривающего страницу в переведённом языке.

Ключевая особенность уязвимости — отсутствие необходимости в аутентификации: для эксплуатации достаточно иметь возможность повлиять на сохраняемые ссылки, обрабатываемые плагином. Поскольку внедрённый код хранится на странице, он срабатывает при каждом её открытии в режиме перевода, что расширяет круг потенциальных жертв. В записи CVE не указано значение CVSS-оценки, поэтому при приоритизации исправления следует опираться на класс уязвимости и эксплуатируемость без учётных данных.

Что делать

Основная рекомендация — обновить плагин Translate WordPress with Weglot 2.0 до версии 6.4.3 или более поздней, где проблема устранена. Перед обновлением рекомендуется создать резервную копию сайта и протестировать совместимость на стенде.

Если оперативное обновление невозможно, следует рассмотреть временные митигации: ограничить доступ к функциональности, связанной с переводами и перезаписью ссылок, а также усилить мониторинг на предмет появления подозрительных ссылок и внедрённых скриптов на страницах сайта. Дополнительно имеет смысл проверить ранее сохранённый контент на наличие вредоносных вставок и при необходимости очистить его.

Организациям, использующим WordPress с данным плагином, стоит включить CVE-2026-88784 в план устранения уязвимостей и проверить наличие уязвимой версии в инвентаризации компонентов.

Уязвимость демонстрирует типичный риск, связанный с обработкой URL при локализации контента: недостаточное экранирование и обратное преобразование кодирования открывают путь для хранимого XSS без аутентификации. Своевременное обновление плагина до версии 6.4.3 закрывает вектор эксплуатации и снижает риск компрометации посетителей сайта.

Источник: CVE Project (cvelistV5)