Если на сайте стоит плагин клубов asVereinbase ниже 1.1.8, посторонний без учётки может войти под любым пользователем WordPress, включая администратора. Патч уже в каталоге: версия 1.1.8.
В списке плагинов он называется asvereinbase и ведёт членов клуба, членские взносы, заявки на вступление и закрытый раздел для своих прямо в WordPress, без отдельной программы для базы. Вход в этот раздел завязан на учётки сайта. WPScan пишет, что в версиях ниже 1.1.8 проверка не ждёт настоящий пароль и настоящий второй фактор: пустое значение, которое уже записано у пользователя, считается совпадением (authentication bypass). Своя учётка для входа не нужна. Номер CVE-2026-110956, в записи NVD оценка 9.8.
Дальше это обычная сессия той учётки, под которую получилось войти. Администратор открывает админку: пользователи, записи, настройки. Клуб, который держит список членов в этом плагине, отдаёт чужому человеку и сайт, и базу. Версия 1.1.8 стоит на странице плагина в каталоге. В списке плагинов смотрите столбец version: 1.1.8 и новее эту дыру закрывает, всё, что ниже, обновляйте сегодня, не в понедельник. Перед обновлением на проде снимите копию файлов и базы.
wp plugin list --fields=name,status,version | grep -Ei 'asvereinbase' wp plugin get asvereinbase --field=version wp plugin update asvereinbase
Если asvereinbase в списке плагинов нет, эта дыра сайта не касается.
