Гость без учётки на сайте со slug automation-web-platform не выше 4.8.6 регистрирует себя администратором. В меню плагин часто подписан Wawp, имя в списке другое. Wordfence ставит CVSS 9.8 и называет патчем 4.8.7. Тег в SVN уже есть, а каталог всё ещё отдаёт 4.8.6: архив 4.8.7.zip отвечает 404. Update дыру не закроет, плагин выключите.
25 сентября рядом ещё два slug, оба без логина. Сначала automation-web-platform, потом customer-reviews-woocommerce и bookly-responsive-appointment-booking-tool. Отзывы разобраны у Wordfence, запись Bookly тоже там. Нет slug в списке плагинов: эта дыра вас не касается.
- Automation Web Platform, slug
automation-web-platform, CVE-2026-14281. Без логина в администраторы. По 4.8.6. Патч 4.8.7 в каталоге не скачивается. - Customer Reviews for WooCommerce, slug
customer-reviews-woocommerce, CVE-2026-89055. Без логина можно навсегда удалить вложения из медиатеки, если есть ссылка формы отзыва, которую магазин уже отправил клиенту. По 5.120.0. Патч 5.121.0, в каталоге уже 5.122.0. - Bookly, slug
bookly-responsive-appointment-booking-tool, CVE-2026-93399. Без логина чужой незавершённый заказ: токен, данные визита и удаление записи. По 28.2. Патч 28.3 уже в каталоге.
Automation Web Platform, slug automation-web-platform
Регистрация открыта снаружи и пишет в мета нового пользователя то, что пришло в полях анкеты. Списка разрешённых ключей нет, поэтому туда попадают и права. Учётка создаётся сразу с ролью администратора. OTP на регистрации это не держит: токен сессии возвращается в ответе, код из письма или SMS можно не вводить.
Readme тега 4.8.7 от 21 августа как раз про ограничение ключей меты и OTP-токен. Каталог на 26 сентября тег не публикует, wp plugin update ставит 4.8.6.
Перед правками снимите бэкап базы и wp-content. Два соседних slug обновляйте, этот выключите. Пользователей и uploads не трогайте.
wp plugin list --fields=name,status,version | grep -Ei 'automation-web-platform|customer-reviews-woocommerce|bookly-responsive-appointment-booking-tool' wp plugin get automation-web-platform --field=version wp plugin deactivate automation-web-platform wp plugin update customer-reviews-woocommerce bookly-responsive-appointment-booking-tool
