Если на сайте стоит плагин сбора данных Confection версий 0.4.0–0.4.7, посетитель без пароля может запустить свой код на сервере. Закрывающей версии нет, плагин лучше выключить. Рядом клиент REST API EASY-JS-WPAPI не новее 2.0 и доска вакансий Grand Job не новее 1.2.1: без пароля можно забрать права администратора, исправления нет и там.
9 ноября все три уже в NVD. У Confection на WPScan оценка 10.0, с него и начните. Страницы confection, node-wpapi-auth и grand-job в каталоге wordpress.org закрыты с 23 октября, скачать плагины оттуда нельзя.
- Confection, slug
confection, версии 0.4.0–0.4.7. Чужой код на сервере без пароля. Патча нет. WPScan, CVE-2026-115252. - EASY-JS-WPAPI, slug
node-wpapi-auth, не новее 2.0. Пароль администратора читается без входа, и в админку плагин пускает тоже. Патча нет. WPScan, CVE-2026-115213. - Grand Job, slug
grand-job, не новее 1.2.1. Можно задать пароль любой учётке, включая администратора: код сброса не проверяется, хватает и пустого. Патча нет. WPScan, CVE-2026-115237.
Confection сохраняет настройки и не проверяет ни права, ни защитный код формы (nonce). Одно из значений пишется в отдельный PHP-файл как есть, и плагин сам этот файл отдаёт. Так на сервере выполняется чужой код ещё до входа в админку. Patchstack пишет, что официального патча нет. Обновляться до последней бессмысленно: в каталоге это 0.4.7, она внутри уязвимого диапазона.
Если confection, node-wpapi-auth и grand-job в списке плагинов нет, эти дыры сайта не касаются. Что нашлось, выключайте сегодня, не в понедельник. Перед изменением на проде снимите копию базы и файлов.
wp plugin list --fields=name,status,version | grep -Ei 'confection|node-wpapi-auth|grand-job'
Команда только ищет три slug. Для найденного хватит wp plugin deactivate и имени из вывода. wp plugin update дыру не закроет.
