25 сентября 2026 года в реестре CVE появилась уязвимость Automation Web Platform: в версиях по 4.8.6 включительно посетитель без авторизации мог зарегистрировать администратора WordPress. Wordfence указывает исправление в 4.8.7. Включённая проверка OTP не закрывала описанный путь атаки.
Плагин нужно искать по slug automation-web-platform. В каталоге он также представлен под названием Wawp Country Code & Chat Widget for WooCommerce. Название в панели может отличаться от старого имени в сообщении об уязвимости.
Пользовательские поля попадали в права доступа
CVE-2026-14281 связана с публичным REST-обработчиком регистрации. Он недостаточно проверял полномочия, а функция завершения регистрации переносила присланные пользовательские поля в метаданные учётной записи без списка допустимых ключей.
Из-за этого в обычные данные регистрации могли попасть служебные параметры прав WordPress. Посторонний получал не просто возможность заполнить профиль, а административный доступ к сайту.
Дополнительная проверка одноразовым кодом также имела ошибку. Токен сессии OTP возвращался в ответе сервера, а обработчик мог считать его подтверждённым без проверки самого кода. Для этого сценария атакующему не требовался доступ к почте или SMS.
Обновление и проверка пользователей
Установите актуальную поддерживаемую версию, содержащую исправление 4.8.7. После обновления проверьте штатную регистрацию и подтверждение пользователя на тестовой копии. Пользовательские поля формы не должны управлять ролью и служебными правами.
Если быстро обновить плагин нельзя, временно отключите затронутую регистрацию или сам компонент. Просмотрите недавно созданные аккаунты и неожиданные изменения ролей, сохраните журналы запросов и завершите подозрительные сессии.
При обнаружении постороннего администратора нужно проверить и остальные изменения сайта. Обновление устраняет известный путь регистрации с лишними правами, но само по себе не отменяет действия уже созданной административной учётной записи.
Похожий риск при другом условии атаки: создание администратора через платёжную форму Paytium.
