Если на сайте стоит File Upload to Order ниже 1.1.4, гость без логина удаляет произвольный файл, и среди них есть такие, удаление которых отдаёт сайт целиком. WPScan закрывает дыру в 1.1.4. Плагина в каталоге wordpress.org нет, wp plugin update этот пакет не принесёт.
14 октября рядом ещё два slug. Snazzy Social Media Feed у Wordfence на 9.8: загрузка файла без логина, версии по 2.5 включительно, патча нет. Abandoned Cart Pro for WooCommerce там же 9.8: чужая учётка по ссылке восстановления корзины, патч 10.8.1.
- File Upload to Order, slug
file-upload-to-order. Ниже 1.1.4, без логина удаление файла. Патч 1.1.4 у WPScan. Пакета в каталоге нет. - Snazzy Social Media Feed, slug
snazzy-cacheable-facebook-feed. По 2.5 включительно, без логина загрузка файла. Патча нет. Каталог закрыл плагин 12 октября 2026 и обновление не отдаёт. - Abandoned Cart Pro for WooCommerce, slug
woocommerce-abandon-cart-pro. По 10.8.0. Своя ссылка из письма о брошенной корзине открывает чужой аккаунт, в том числе администратора. Патч 10.8.1 от 8 октября, кабинет Tyche. В том же выпуске правки SQL-инъекций без логина. Lite, slugwoocommerce-abandoned-cart, другой плагин.
File Upload to Order
Путь к файлу плагин берёт из сессии. Перед удалением путь не проверяется и не ограничивается каталогом загрузок, а само действие доступно без входа. NVD ставит 10.0. Ниже 1.1.4 выключите slug: версию 1.1.4 каталог не отдаёт.
На Pro по 10.8.0 выключить auto-login недостаточно: при обновлении плагина он включается снова. Нужна 10.8.1 из кабинета, не из каталога. Если ни file-upload-to-order, ни snazzy-cacheable-facebook-feed, ни woocommerce-abandon-cart-pro в списке плагинов нет, эти дыры сайта не касаются.
Перед командами на проде снимите копию файлов и базы. Из каталога здесь обновлять нечего. Snazzy выключается, патча нет. Pro в команду ниже не ставьте.
wp plugin list --fields=name,status,version | grep -Ei 'file-upload-to-order|snazzy-cacheable-facebook-feed|woocommerce-abandon-cart-pro' wp plugin deactivate snazzy-cacheable-facebook-feed
File Upload to Order ниже 1.1.4 выключается той же deactivate со своим slug.
