Если стоит Anton Extensions 1.2.2 или более ранний, гость без логина записывает PHP в путь, который выбирает сам, и сервер этот файл выполняет. Исправления нет. Каталог wordpress.org закрыл slug 4nton-extensions 6 октября 2026, архив больше не скачать. Уже стоящую копию это не чинит.
11 октября 2026 рядом ещё два аддона click5 CRM. К Ninja Forms затронуты версии по 1.0.1, к WPForms по 1.0.3. Оба без логина меняют произвольные опции блога и могут завести администратора. Патча нет, в каталоге оба закрыты с 24 сентября 2026.
- Anton Extensions, slug
4nton-extensions, CVE-2026-104028. По 1.2.2 включительно: PHP без логина в выбранный путь. Исправления нет, каталог закрыт 6 октября 2026. - click5 CRM для Ninja Forms, slug
click5-crm-add-on-to-ninja-forms, CVE-2026-84251. По 1.0.1: без логина чужие опции и новый администратор. Исправления нет, каталог закрыл плагин 24 сентября 2026. - click5 CRM для WPForms, slug
wpf-add-on-by-click5, CVE-2026-84252. По 1.0.3, тот же приём с опциями. Исправления нет, закрыт в тот же день.
Anton Extensions, slug 4nton-extensions
В записи NVD по CVE-2026-104028 оценка 9.8. Перед записью файла плагин не проверяет права, nonce и тип. Содержимое и путь приходят снаружи, поэтому на диске может оказаться PHP. Дальше это уже код от имени пользователя, под которым работает PHP, а не кривая форма в админке.
По WPScan исправления нет. Страница в каталоге закрыта временно, до конца проверки. Если 4nton-extensions активен, выключайте сегодня, не в понедельник.
Перед выключением снимите бэкап файлов и базы. Формы и блоки, которые зависят от этих плагинов, после deactivate пропадут.
wp plugin list --fields=name,status,version | grep -Ei '4nton-extensions|click5-crm-add-on-to-ninja-forms|wpf-add-on-by-click5' wp plugin get 4nton-extensions --field=version wp plugin deactivate 4nton-extensions
Команда get и deactivate имеют смысл, только если slug уже стоит. Для аддонов та же deactivate, только slug другой: click5-crm-add-on-to-ninja-forms или wpf-add-on-by-click5. Если ни одного из трёх в списке нет, эти дыры сайта не касаются.
