CVE-2026-107627

Greenshift <= 13.2.1 - Unauthenticated Stored DOM-Based Cross-Site Scripting via Comment Content via Nested Latest Comments Block

CVSS 3.1Medium

5.4/ 10.0

Опубликовано

29 октября 2026 г.

Обновлено

29 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновите плагин Greenshift до версии выше 13.2.1 либо удалите конфигурацию вложенных блоков Text Animated и Latest Comments.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Хранимая DOM XSS в плагине Greenshift для WordPress через блок Latest Comments внутри блока анимации текста.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Отсутствие корректной санитизации параметра comment в плагине Greenshift версий <= 13.2.1. Если блок Latest Comments со сниппетами вложен в Text Animated блок (с типом Blocks), скрипт gs-textanimate обрабатывает комментарии без должного экранирования в DOM.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Выполнение произвольного клиентского кода в браузере авторизованных пользователей и администраторов при просмотре целевой страницы.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

wpsoulGreenshift – animation and page builder blocks

>= 0➔Патч не выпущен

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)

www.wordfence.comhttps://www.wordfence.com/threat-intel/vulnerabilities/id/6c3ad041-8e93-4e2b-b38d-9e0b1149950f?source=cve
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/greenshift-animation-and-page-builder-blocks/tags/13.2.1/libs/greentextanimate/index.js#L22
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/greenshift-animation-and-page-builder-blocks/tags/13.2.1/libs/greentextanimate/index.js#L5
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/browser/greenshift-animation-and-page-builder-blocks/tags/13.2.1/blockrender/element/block.php#L587
plugins.trac.wordpress.orghttps://plugins.trac.wordpress.org/changeset/3755701/greenshift-animation-and-page-builder-blocks/trunk/libs/greentextanimate/index.js

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-107627: Greenshift <= 13.2.1 - Unauthenticated Stored DOM-Based Cross-Site Scripting via Comment Content via Nested Latest Comments Block. URL: https://cve.futuretools.ru/cve/CVE-2026-107627

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_107627,
  title = {{CVE-2026-107627: Greenshift <= 13.2.1 - Unauthenticated Stored DOM-Based Cross-Site Scripting via Comment Content via Nested Latest Comments Block}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-107627}},
  note = {Оперативный инженерный анализ киберугроз}
}