Уразливість Stored XSS у плагіні Show Posts list для WordPress (CVE-2026-4022)

Що відомо

Плагін Show Posts list – Easy designs, filters and more для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через атрибут 'post_type' у шорткоді 'swiftpost-list' у версіях до 1.1.0 включно. Недостатня санітизація та екранування введених користувачем даних дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сайті, що ставить під загрозу безпеку користувачів і цілісність вебресурсу. Це може спричинити крадіжку сесій, зміну контенту або інші атаки, що впливають на довіру до сайту та його репутацію. Власникам інфраструктури слід врахувати ризики компрометації через внутрішніх користувачів із відповідними правами.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх у першу чергу. Якщо оновлення недоступні, слід обмежити права користувачів, які можуть використовувати шорткод 'swiftpost-list', провести аудит логів на предмет підозрілої активності та мінімізувати експозицію вразливого функціоналу. Також варто впровадити додаткові заходи з фільтрації та екранування введених даних.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference