Уязвимость XSS в WordPress-плагине WPAdverts (CVE-2026-97264)
В плагине WPAdverts для WordPress обнаружена уязвимость отражённого межсайтового скриптинга (Reflected XSS), затрагивающая версии до 2.3.4 включительно. Эксплуатация возможна при взаимодействии пользователя со специально сформированной ссылкой. Уязвимости присвоен высокий уровень опасности — CVSS 7.1.
Подробности
Уязвимость получила идентификатор CVE-2026-97264 и классифицирована как Reflected XSS (отражённый межсайтовый скриптинг). Согласно описанию, проблема затрагивает WPAdverts во всех версиях от n/a до 2.3.4 включительно. Производителем плагина указан Greg Winiarski. Базовый балл CVSS составляет 7.1, что соответствует высокому уровню критичности. Такой показатель отражает возможность исполнения вредоносного сценария в браузере жертвы при переходе по специально подготовленной ссылке. Отражённый тип XSS предполагает, что полезная нагрузка передаётся через параметры запроса и «отражается» в ответе сервера без должной санитизации. Уязвимость относится к категории CWE-79 (Improper Neutralization of Input During Web Page Generation). Для эксплуатации, как правило, требуется, чтобы пользователь — например, администратор сайта или посетитель — кликнул по ссылке, сформированной атакующим. Успешная атака может привести к краже сессионных данных, выполнению действий от имени пользователя или перенаправлению на сторонние ресурсы.Что делать
Основная рекомендация — обновить плагин WPAdverts до версии, в которой уязвимость устранена, как только соответствующее исправление станет доступно от разработчика. На момент публикации записи CVE информация о конкретной патч-версии не приводится, поэтому следует отслеживать обновления на официальной странице плагина в репозитории WordPress. Если обновление пока невозможно, целесообразно применить компенсирующие меры: ограничить доступ к административной панели, использовать WAF с правилами фильтрации XSS-нагрузок, а также проводить проверку входящих параметров на стороне сервера. Дополнительно стоит рекомендовать пользователям внимательно относиться к ссылкам, ведущим на сайты с установленным плагином. В качестве общих мер профилактики остаётся регулярное обновление всех компонентов WordPress, включая темы и плагины, а также принцип минимальных привилегий для учётных записей. Итог: уязвимость CVE-2026-97264 в WPAdverts представляет реальную угрозу для сайтов на WordPress, использующих плагин версий до 2.3.4. Высокий балл CVSS и простота эксплуатации через отражённый XSS требуют оперативной реакции — обновления плагина или применения митигаций до выхода патча.Источник: CVE Project (cvelistV5)