Имя плагина	Создатель блоков шорткодов Ultimate
Тип уязвимости	Межсайтовый скриптинг (XSS)
Номер CVE	CVE-2024-12167
Срочность	Середина
Дата публикации CVE	2026-03-24
Исходный URL-адрес	CVE-2024-12167

Отраженная XSS у Создателя блоков шорткодов Ultimate (≤ 2.2.0) — что владельцы сайтов на WordPress должны сделать прямо сейчас

Дата: 2026-03-24
Автор: Команда безопасности WP-Firewall
Теги: WordPress, WAF, XSS, безопасность плагинов, реагирование на инциденты

Краткое содержание
Уязвимость отраженного межсайтового скриптинга (XSS) (CVE-2024-12167) была раскрыта в плагине Создатель блоков шорткодов Ultimate для WordPress (версии ≤ 2.2.0). Проблема связана с небезопасным отражением значений, связанных с nonce-значениями WordPress (_wpnonce) и может быть использована для выполнения JavaScript в контексте браузера жертвы. В этом посте объясняются технические детали, реалистичные сценарии атак, шаги по обнаружению и смягчению, а также рекомендации по долгосрочному укреплению — с точки зрения нашей команды безопасности WP-Firewall.

Почему это важно (краткая версия)

Отраженный XSS является одной из самых распространенных веб-уязвимостей. В контексте WordPress он особенно опасен, когда может быть использован против привилегированных пользователей (администраторов сайта, редакторов), поскольку это может привести к захвату учетной записи, изменениям параметров, модификациям файлов плагинов/тем или установке задних дверей. Даже если уязвимость кажется требующей “взаимодействия пользователя” (клик по ссылке, посещение созданной страницы), реальные злоумышленники часто создают ловушки социальной инженерии или внедряют ссылки в контент третьих лиц, который администраторы могут открыть.

Для любого сайта, использующего Создатель блоков шорткодов Ultimate версии 2.2.0 или ниже, предполагается риск, пока вы не внедрили меры по смягчению. Если вы не можете сразу установить патч, следуйте многоуровневым мерам смягчения ниже.

Что такое уязвимость (техническое резюме)

Тип уязвимости: Отраженный межсайтовый скриптинг (XSS).
Затронутый компонент: Плагин Создатель блоков шорткодов Ultimate для WordPress (≤ 2.2.0).
CVE: CVE-2024-12167
Коренная причина (высокий уровень): Несанитизированный ввод, контролируемый пользователем — в частности, значения, связанные с параметром nonce WordPress (_wpnonce) — отражаются обратно пользователю (в некотором AJAX-ответе или странице) без надлежащего экранирования или кодирования. Это отражение позволяет внедрять полезные нагрузки скриптов, которые выполняются в браузере жертвы.
Требуется доступ: Уязвимость может быть вызвана неаутентифицированными участниками, создающими поддельные URL. Успешное воздействие атаки выше, если аутентифицированный или привилегированный пользователь (например, администратор) побуждается посетить поддельную ссылку.
Типичное воздействие: Выполнение произвольного JavaScript в браузере жертвы (кража сессии через куки, действия в стиле CSRF, захват административной учетной записи, постоянные изменения, если связаны с другими уязвимостями).

Важный нюанс: Многие отчеты об отраженном XSS указывают, что полезная нагрузка доставляется через ответ, который требует от привилегированного пользователя выполнения действия (например, клик по ссылке внутри админки). Типичный поток атаки — злоумышленник отправляет поддельный URL администратору; администратор кликает по нему; вредоносный скрипт выполняется в сессии администратора и выполняет привилегированные действия.

Как злоумышленники, вероятно, будут это эксплуатировать (реалистичные сценарии)

Фишинг администраторов: Злоумышленник создает убедительное электронное письмо, ориентированное на администраторов, со ссылкой, содержащей полезную нагрузку XSS в параметрах (часто закодированных в URL). Если администратор следует по ссылке, будучи в системе, скрипт запускается и может инициировать действия, такие как экспорт пользователей, добавление администратора или внедрение вредоносных постов.
Уязвимость через контент третьих лиц: Если злоумышленник может разместить ссылку на стороннем сайте или в комментарии, на которую администратор позже кликнет (или если злоумышленник компрометирует партнерский сайт), это может вызвать XSS.
Связывание с другими уязвимостями: Злоумышленники могут использовать отраженный XSS для выполнения скриптов, которые обращаются к внутренним конечным точкам (например, выполняют AJAX-запросы) и используют куки аутентификации или конечные точки REST API для выполнения постоянных изменений.
Кража сессий и повышение привилегий: Внедренный скрипт может отправлять куки или нонсы на сервер, контролируемый злоумышленником, что позволяет перехватывать сессии или повторять действия администратора.

Индикаторы компрометации (на что обратить внимание)

При расследовании того, произошла ли атака, проверьте:

Незнакомые учетные записи администраторов, созданные в период подозрительной активности.
Содержимое постов/страниц, измененное пользователем-администратором или неизвестным пользователем.
Измененные файлы плагинов/тем (временные метки загрузки или измененное содержимое).
Неизвестные запланированные задачи (записи cron) или исходящие соединения с неизвестными доменами с сайта.
Access logs showing requests with unusual query parameters containing encoded characters (%3C, %3E, %3Cscript%3E) or long strings that look like payloads.
Сессии администраторов, которые включают IP-адреса или пользовательские агенты, не соответствующие нормальному использованию.
Оповещения от сканеров вредоносного ПО, указывающие на внедренный JavaScript на страницах или в постах.
Неожиданные изменения параметров в wp_options (например, изменения site_url, новые правила перенаправления).

Ищите в своих журналах доступа HTTP шаблоны, такие как:

Запросы, содержащие _wpnonce= с неожиданными значениями или содержимым, похожим на полезную нагрузку.
Закодированные теги скриптов: %3Cscript%3E, \x3Cscript\x3E, <script>.
Необычные параметры POST/GET с длинными строками base64, HTML-тегами или обработчиками событий (загрузка, onclick).

Немедленные рекомендуемые действия (приоритетный список)

Если вы управляете сайтами WordPress с установленным этим плагином, выполните следующее немедленно — в этом порядке:

Подтвердите версию плагина
Проверьте страницу плагина в wp-admin или wp-content/plugins, чтобы подтвердить версию. Если она ≤ 2.2.0, считайте ее уязвимой.
Если доступно безопасное обновление плагина, обновите немедленно
Всегда сначала тестируйте на тестовом сервере, когда это возможно. Если официального патча еще нет, продолжайте с приведенными ниже мерами.
Примените WAF (виртуальный/временный патч)
Блокируйте шаблоны эксплуатации с помощью правила WAF. Это предотвращает большинство автоматизированных и оппортунистических атак. Практическое правило WAF может блокировать запросы, где _wpnonce значения параметров содержат <, >, скрипт, или закодированные формы.
Ограничьте административный доступ
Ограничьте доступ к wp-admin по IP (если возможно), VPN или HTTP-аутентификации.
Примените двухфакторную аутентификацию (2FA) для всех учетных записей администраторов.
Отмените сессии, которые вы не распознаете (Пользователи → Все пользователи → Плагины управления сессиями или используйте запрос к базе данных для удаления сессий).
Сканируйте на наличие индикаторов и откатите подозрительные изменения
Используйте свой сканер вредоносных программ для поиска внедренных скриптов в записях, страницах, файлах тем/плагинов и загрузках.
Верните любые подозрительные изменения из резервных копий или версионных копий.
Удалите или деактивируйте плагин (если обновление недоступно и меры не могут быть применены)
Если плагин не критичен для функциональности сайта, деактивируйте и удалите его до тех пор, пока он не будет исправлен.
Укрепите учетные записи администраторов
Смените пароли для всех учетных записей администраторов. Принудительно сбросьте пароли для привилегированных учетных записей.
Отключите ненужные учетные записи администраторов и проверьте учетные записи с повышенными привилегиями.
Мониторинг журналов и трафика
Увеличьте чувствительность журналирования и сохраняйте журналы для более глубокого судебного анализа.
Следите за повторяющимися запросами, которые соответствуют шаблонам эксплуатации.

Примеры сигнатур обнаружения и правил WAF

Ниже приведены образцы правил и шаблонов, которые вы можете использовать в WAF для блокировки попыток эксплуатации. Эти примеры — адаптируйте их к синтаксису вашей платформы WAF.

Примечание: всегда тестируйте правила в режиме “мониторинга” перед блокировкой, чтобы не создать ложные срабатывания, которые нарушают законную функциональность.

Общий RegExp для обнаружения тегов скриптов или закодированных форм в _wpnonce:

(?i)(_wpnonce=)([^&]*)(%3C|%3c|<|&lt;|%253C|script|%3E|%3e|>|&gt;)

Если инструмент поддерживает создание правил, правило может быть:

Условие: строка запроса содержит _wpnonce
И: _wpnonce значение соответствует регулярному выражению для < или скрипт или закодированных форм.
Действие: Блокировать или оспаривать (CAPTCHA/JS challenge).

Пример ModSecurity (концептуально):

# Block if _wpnonce param includes suspicious tokens
SecRule REQUEST_URI|ARGS_NAMES|ARGS "@rx _wpnonce" "phase:2,chain,deny,id:100101,log,msg:'Reflected XSS attempt via _wpnonce parameter'"
    SecRule ARGS:_wpnonce "@rx (?i)(%3C|%3c|<|%3E|%3e|>|&lt;|&gt;|script|onload|onerror|eval|document\.cookie)" "t:none,log,deny,status:403"

Блокировать закодированные полезные нагрузки XSS в строках запроса:

SecRule QUERY_STRING "@rx (?i)(%3Cscript%3E|%253Cscript%253E|%3Cscript|%3C%2Fscript%3E)" "id:100102,phase:2,deny,log,msg:'Encoded script tag in query string'"

Минимальная защита на уровне местоположения nginx (концептуально):

if ($request_uri ~* "_wpnonce=.*(%3C|%3c|<|%3E|%3e|>|script)") {
    return 403;
}

Блокировать подозрительные рефереры или пользовательские агенты при вызове чувствительных конечных точек администратора:
– Если конечная точка AJAX используется только панелями администратора, блокируйте запросы к ней из-за пределов известных доменов администратора.

Важный: Для крупных или многопользовательских сайтов убедитесь, что любые блокирующие правила имеют узкую область применения, чтобы избежать нарушения законных потоков администратора.

Контрольный список по устранению — пошагово

Инвентарь
Перечислите все сайты, использующие плагин, и их версии. Приоритизируйте сайты с высокой ценностью (электронная коммерция, членство, высокий трафик).
Патч (если доступен)
Обновите плагин, как только будет опубликован патч. Следуйте рекомендациям автора плагина.
WAF / Виртуальный патч
Разверните правила WAF для блокировки векторов эксплуатации. Держите правила простыми, целевыми и с логированием.
Используйте прогрессивное применение: мониторинг -> вызов -> блокировка.
Контроль доступа
Ограничьте доступ к /wp-admin и /wp-login.php через IP-белый список, VPN или HTTP-аутентификацию, если это возможно.
Обеспечьте использование надежных паролей и двухфакторной аутентификации для всех привилегированных пользователей.
Аудит и восстановление
Проведите сканирование на наличие вредоносного ПО и проверку целостности файлов. Сравните файлы плагина/темы с оригинальными версиями в репозитории.
Восстановите скомпрометированные файлы из чистой резервной копии, если это необходимо.
Повернуть секреты
Сбросьте пароли учетных записей администратора. Сгенерируйте заново ключи API, секреты интеграции и токены, используемые сайтом, если есть хоть малейшая вероятность утечки.
Монитор
Увеличьте оповещения о подозрительных событиях (вход администратора с нового IP, изменения файлов).
Мониторьте исходящий трафик на предмет эксфильтрации.
Связь
Если вы провайдер хостинга или управляете сайтами клиентов, незамедлительно уведомите затронутых клиентов с рекомендуемыми шагами.

Для разработчиков: хорошие практики кодирования для избежания отраженных nonce

Если вы разработчик плагина или темы, эти пункты предотвратят тип отраженного XSS, описанный здесь:

Никогда не выводите ненадежный ввод обратно в браузер без экранирования.
Используйте санитацию при приеме ввода.
Экранирование на выходе: esc_html(), esc_attr(), esc_textarea(), или wp_kses() в зависимости от контекста.
Используйте помощники экранирования WordPress для HTML-атрибутов и контента:
esc_attr() для значений атрибутов
esc_html() для текстовых узлов HTML
esc_js() для вставки встроенного JavaScript (предпочтительно избегать встроенного JS)
wp_kses_post() для разрешенного HTML в содержимом поста
Проверяйте и подтверждайте nonce на стороне сервера с использованием wp_verify_nonce()
Но помните: значение nonce не является входным контентом; не предполагайте, что его безопасно отражать напрямую.
При возврате JSON-ответов (AJAX) кодируйте значения в JSON и избегайте встраивания HTML напрямую в JSON.
Использовать wp_send_json_success() / wp_send_json_error() с правильно очищенным контентом.
Предпочитайте POST для чувствительных операций и избегайте отражения параметров обратно в ответах на основе GET.
Используйте заголовки Content Security Policy (CSP), чтобы уменьшить влияние отраженного XSS:
сначала только для отчетов; затем применяйте, когда протестируете.
Обучите команды QA/тестирования включать полезные нагрузки XSS (закодированные/незакодированные) в входные данные как часть тестовых планов.

Укрепление и долгосрочная профилактика (за пределами этой уязвимости)

Держите ядро WordPress, темы и плагины обновленными по надежному графику.
Используйте тестовые сайты для обновления плагинов и проверяйте совместимость перед развертыванием в производственной среде.
Реализуйте управление доступом на основе ролей: предоставьте минимальные привилегии, необходимые для административных задач.
Применяйте 2FA и строгие политики паролей для привилегированных аккаунтов.
Включите мониторинг целостности файлов (обнаружение изменений файлов в wp-content, wp-includes).
Проведите аудит и удалите неиспользуемые плагины и темы.
Реализуйте регулярные резервные копии с хранением вне сайта и тестируйте процедуры восстановления.
Используйте многослойный подход к безопасности: укрепление на уровне хоста, WAF на уровне приложения и мониторинг в реальном времени.

Практические примеры: как быстро укрепить уязвимый сайт

Правило WAF на короткий срок (пример):
Блокировать запросы, где _wpnonce включает любые из следующих токенов: <, >, скрипт, загрузка, onerror, оценка, документ.cookie, или общие закодированные формы.
Ограничьте доступ администратора по IP:
Если у вас есть статические IP-адреса от вашей команды, ограничьте доступ к /wp-admin и /wp-login.php для этих IP. Добавьте исключения для законных сервисов (например, мониторинг).
Добавьте заголовок политики безопасности контента (CSP):
Строгий CSP значительно снижает возможность отраженного XSS загружать внешние скрипты или экстрагировать данные.
Начните с режима только для отчетов, просмотрите отчеты, затем примените.
Очистите вводимые данные в пользовательском или стороннем коде:
Если ваш сайт или консультанты имеют пользовательский код, который включает или взаимодействует с этим плагином, убедитесь, что любые данные, передаваемые или отображаемые в браузере, очищены/экранированы.
Отключите автоматическую отрисовку уведомлений администратора, которые содержат недоверенные значения:
Многие плагины отображают уведомления администратора, которые отражают параметры GET. Проверьте код генерации уведомлений администратора и экранируйте соответствующим образом.

Мониторинг и шаблоны журналов для включения оповещений

Настройте оповещения для:

Запросы с _wpnonce содержащим %3C, %3E, %3Cscript или скрипт токены.
POST-запросы к административным конечным точкам, поступающие с необычных IP-адресов или геолокаций.
Массовые запросы к конечным точкам, которые включают строки запроса, длиннее обычных (указывает на доставку полезной нагрузки).
Вход администратора с новых IP в течение короткого времени после подозрительных GET-запросов.

Пример поиска в журнале (концептуально):

request:/wp-admin* AND query._wpnonce:/.*(%3C|%3E|<|>|\bscript\b).*/i

Триггер: отправить оповещение команде безопасности и временно заблокировать IP или представить JS-вызов.

Руководство для разработчиков — безопасные шаблоны для обработки _wpnonce

Нонсы предназначены для проверки намерений, а не для передачи данных. Не используйте значение нонса как содержимое. Если вам нужно отобразить значение нонса для отладки, экранируйте его правильно и удалите этот вывод в производственной среде.
При создании административных страниц, которые принимают параметры, очищайте все входные данные с помощью соответствующих фильтров и экранируйте выводы, используя помощники WordPress.
Где плагин выводит уведомления администратора или возвращает HTML через AJAX, не выводите параметры запроса напрямую. Всегда очищайте, проверяйте и экранируйте.

Пример (безопасного) вывода на странице администратора плагина:

&lt;?php&#039;<div>' . $_GET['some_param'] . '</div>';'<div>' . esc_html($param) . '</div>';

Для AJAX конечных точек:

Использовать check_ajax_referer() для проверки намерения нонса.
Для JSON-ответов используйте wp_send_json_success( array( 'data' => $safe_value ) );

Как WP-Firewall защищает вас (краткая техническая заметка)

В качестве поставщика безопасности WordPress мы реализуем проактивное обнаружение и виртуальное патчирование, чтобы предотвратить атаки, такие как отраженный XSS, описанный здесь. Наш подход следует многослойной модели:

Блокировка на основе правил, нацеленная на шаблоны эксплуатации (включая закодированные полезные нагрузки, нацеленные на параметры nonce).
Обнаружение аномальной активности администратора в реальном времени и автоматическое ограничение сеансов.
Сканирование на наличие вредоносного ПО для обнаружения внедренных скриптов и измененных файлов.
Рекомендации по усилению безопасности для использования плагинов, доступа администратора и конфигурации.

Если вы используете наш бесплатный уровень, базовые защиты WAF и сканирование на наличие вредоносного ПО заблокируют большую часть автоматических попыток эксплуатации, и мы предоставляем простые пошаговые рекомендации по устранению.

Защитите свой сайт бесплатно с WP-Firewall Basic

Если вы хотите быстрый, бесплатный способ уменьшить свою уязвимость, пока планируете устранение, попробуйте WP-Firewall Basic (бесплатно). Базовый план предоставляет вам основную защиту: управляемый брандмауэр, неограниченную пропускную способность, брандмауэр веб-приложений, настроенный для WordPress, сканер вредоносного ПО и смягчение рисков OWASP Top 10. Это простой способ добавить немедленный слой виртуального патча и улучшить вашу способность обнаружения без изменения конфигурации вашего сайта. Зарегистрируйтесь на бесплатный план здесь: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

(Если вам нужна автоматическая удаление вредоносного ПО, управление разрешениями/запретами IP или виртуальное патчирование с приоритетными правилами для уязвимостей плагинов, рассмотрите возможность перехода на платные планы.)

Часто задаваемые вопросы

В: Если плагин деактивирован, я в безопасности?
О: Деактивация и удаление плагина устраняет немедленную поверхность атаки. Однако, если сайт ранее был скомпрометирован, одна только деактивация не очищает внедренный контент или задние двери. Всегда сканируйте и проверяйте.

В: Могут ли злоумышленники использовать уязвимость через поисковые системы?
О: Только если администратор/пользователь нажмет на специально подготовленную ссылку, будучи аутентифицированным. Однако злоумышленники могут распространять такие ссылки в электронных письмах, на страницах партнеров или в комментариях. Рассматривайте любую внешнюю ссылку на администратора как рискованную, если плагин уязвим.

В: Должны ли nonce быть секретными?
О: Нет. Nonce не являются секретными токенами, как пароли; это краткосрочные токены для проверки намерений. Их никогда не следует использовать в качестве средства для передачи данных, которые будут отражены обратно пользователям без надлежащей очистки/экранирования.

Заключительные мысли (практическая оценка рисков)

Отраженный XSS является проблемой с высокой вероятностью и средним или высоким воздействием, когда он может затронуть администраторов. Поскольку его можно вызвать через специально подготовленные URL и социальную инженерию, это именно тот тип уязвимости, который часто появляется в массовых попытках эксплуатации. Если ваш сайт использует затронутую версию плагина, рассматривайте это как срочное: патч, если доступен, а если нет, примените правила WAF, ограничьте доступ администратора и просканируйте на наличие компрометации.

Безопасность — это не одноразовая задача. Сочетайте своевременное патчирование, многослойную защиту (WAF + усиление + мониторинг) и реагирующие процессы инцидентов, чтобы уменьшить вероятность того, что эксплуатация превратится в полную компрометацию.

Если вам нужна помощь в реализации вышеуказанных защит или вы хотите, чтобы мы рассмотрели конкретный инцидент или вывод журнала, свяжитесь с нашей командой по операциям безопасности — мы можем помочь вам сократить окно атаки, работая с вами над полным планом устранения.

Ссылки и дополнительная литература

Команда безопасности WP-Firewall
Мы защищаем сайты WordPress, сочетая экспертный анализ, управляемые правила WAF и практическое руководство по устранению проблем.

Устранение XSS в плагине шорткодов WordPress//Опубликовано 2026-03-24//CVE-2024-12167

Отраженная XSS у Создателя блоков шорткодов Ultimate (≤ 2.2.0) — что владельцы сайтов на WordPress должны сделать прямо сейчас

Почему это важно (краткая версия)

Что такое уязвимость (техническое резюме)

Как злоумышленники, вероятно, будут это эксплуатировать (реалистичные сценарии)

Индикаторы компрометации (на что обратить внимание)

Немедленные рекомендуемые действия (приоритетный список)

Примеры сигнатур обнаружения и правил WAF

Контрольный список по устранению — пошагово

Для разработчиков: хорошие практики кодирования для избежания отраженных nonce

Рекомендуемый поток реагирования на инциденты (если вы подозреваете эксплуатацию)

Укрепление и долгосрочная профилактика (за пределами этой уязвимости)

Практические примеры: как быстро укрепить уязвимый сайт

Мониторинг и шаблоны журналов для включения оповещений

Руководство для разработчиков — безопасные шаблоны для обработки _wpnonce

Пример (безопасного) вывода на странице администратора плагина:

Как WP-Firewall защищает вас (краткая техническая заметка)

Защитите свой сайт бесплатно с WP-Firewall Basic

Часто задаваемые вопросы

Заключительные мысли (практическая оценка рисков)

Ссылки и дополнительная литература

Получайте WP Security Weekly бесплатно 👋
Зарегистрируйтесь сейчас!!

Свяжитесь с нами, чтобы запланировать бесплатную консультацию по безопасности WordPress.

Устранение XSS в плагине шорткодов WordPress//Опубликовано 2026-03-24//CVE-2024-12167

Отраженная XSS у Создателя блоков шорткодов Ultimate (≤ 2.2.0) — что владельцы сайтов на WordPress должны сделать прямо сейчас

Почему это важно (краткая версия)

Что такое уязвимость (техническое резюме)

Как злоумышленники, вероятно, будут это эксплуатировать (реалистичные сценарии)

Индикаторы компрометации (на что обратить внимание)

Немедленные рекомендуемые действия (приоритетный список)

Примеры сигнатур обнаружения и правил WAF

Контрольный список по устранению — пошагово

Для разработчиков: хорошие практики кодирования для избежания отраженных nonce

Рекомендуемый поток реагирования на инциденты (если вы подозреваете эксплуатацию)

Укрепление и долгосрочная профилактика (за пределами этой уязвимости)

Практические примеры: как быстро укрепить уязвимый сайт

Мониторинг и шаблоны журналов для включения оповещений

Руководство для разработчиков — безопасные шаблоны для обработки _wpnonce

Пример (безопасного) вывода на странице администратора плагина:

Как WP-Firewall защищает вас (краткая техническая заметка)

Защитите свой сайт бесплатно с WP-Firewall Basic

Часто задаваемые вопросы

Заключительные мысли (практическая оценка рисков)

Ссылки и дополнительная литература

Получайте WP Security Weekly бесплатно 👋Зарегистрируйтесь сейчас!!

Свяжитесь с нами, чтобы запланировать бесплатную консультацию по безопасности WordPress.

Получайте WP Security Weekly бесплатно 👋
Зарегистрируйтесь сейчас!!