Уразливість Stored XSS у плагіні YayMail для WooCommerce (CVE-2026-1943)

Що відомо

Плагін YayMail – WooCommerce Email Customizer для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію введених даних у версіях до 4.3.2 включно. Уразливість дозволяє автентифікованим користувачам з правами Shop Manager і вище впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість може призвести до виконання шкідливих скриптів на сайтах з мультисайтовою установкою або де вимкнено unfiltered_html, що ставить під загрозу безпеку користувачів і цілісність даних. Власники інфраструктури повинні врахувати потенційний ризик компрометації облікових записів та вплив на репутацію бізнесу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна YayMail від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до рівня нижче Shop Manager, перевірити налаштування unfiltered_html, зменшити експозицію мультисайтових інсталяцій, а також моніторити журнали на предмет підозрілої активності.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference