Вразливість Stored XSS у плагіні PublishPress Future для WordPress (CVE-2026-5247)

Що відомо

Плагін Schedule Post Changes With PublishPress Future для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через атрибут 'wrapper' шорткоду [futureaction] у версіях до 4.10.0 включно. Недостатня санітизація цього атрибута дозволяє адміністраторам впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Вразливість дозволяє користувачам з правами адміністратора або вище впроваджувати довготривалі скрипти на сайті, що може призвести до компрометації даних, викрадення сесій або інших атак на користувачів. Оскільки адміністратори можуть надати доступ до цієї функції менш привілейованим користувачам, ризик зловживання зростає, що ставить під загрозу безпеку веб-ресурсу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та встановити їх при доступності. Якщо оновлення відсутні, слід обмежити доступ до функціоналу, що використовує шорткод [futureaction], особливо для користувачів з низькими правами. Також варто провести аудит логів на предмет підозрілої активності та посилити моніторинг безпеки сайту.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference