В пяти плагинах и темах WordPress нашли критические уязвимости
Ошибки в WPMU DEV Dashboard, Avada, TranslatePress, Pods и GiveWP позволяют в зависимости от компонента получить права администратора, перехватить учётную запись или выполнить команды на сервере.
Исследователи Wordfence и Patchstack сообщили о пяти критических уязвимостях в компонентах для WordPress. Четыре из них получили оценку 9,8 балла из 10 по шкале CVSS, ещё одна — максимальные 10 баллов. Последствия включают обход аутентификации, повышение привилегий и удалённое выполнение кода на сервере.
Наиболее высокий балл получила CVE-2026-82222 в плагине GiveWP: она затрагивает версии до 4.16.7.1 включительно. Атакующий может выполнять произвольные команды на сервере сайта, если на нём опубликована хотя бы одна форма пожертвований и включён хотя бы один платёжный шлюз. По данным Patchstack, проблема складывается из небезопасной вспомогательной функции десериализации, передачи контролируемых атакующим данных через процесс пожертвования и цепочки вызовов в коде, поставляемом вместе с GiveWP.
Уязвимость CVE-2026-76581 в WPMU DEV Dashboard затрагивает версии до 5.0.1 включительно. Неаутентифицированный злоумышленник может получить права администратора на сайтах, подключённых к WPMU DEV, если включён Hub Single Sign-On и он сопоставлен с учётной записью администратора.
В теме Avada обнаружена CVE-2026-18431. В версиях до 7.16 включительно она позволяет записывать на сервер файлы под контролем атакующего, а затем создавать и выполнять произвольные PHP-файлы. Для атаки также требуется установленный и активный Fusion Builder версии до 3.16 включительно. Это может привести к удалённому выполнению кода и полному компрометированию сайта.
CVE-2026-19632 касается TranslatePress — Translate Multilingual sites with AI Translation до версии 3.3.1 включительно. Ошибка может раскрыть необработанную ссылку для сброса пароля администратора вместе с ключом сброса в открытом виде и параметрами входа. Уязвимость проявляется, только если включено автоматическое сохранение строк, а язык профиля целевого администратора установлен как опубликованный дополнительный язык.
Наконец, CVE-2026-19598 в Pods — Custom Content Types and Fields затрагивает версии до 3.3.9 включительно. Неаутентифицированный атакующий способен повысить свои привилегии до администратора либо перезаписать пароль любой учётной записи, включая учётную запись владельца сайта.
Patchstack связывает случай с GiveWP с распространёнными ошибками при обработке сериализованных PHP-данных: механизм очистки, который фактически не исключает объекты, последующей десериализацией данных из базы как доверенных и присутствием в рабочем коде библиотек, пригодных для построения цепочек вызовов.