22 сентября 2026 года в реестре CVE опубликовали уязвимость фильтра товаров HUSKY для WooCommerce. В версиях по 1.4.4 включительно посетитель без авторизации мог подключать PHP-файлы на сервере. Wordfence указывает исправление в 1.4.5.
Проверять нужно плагин со slug woocommerce-products-filter. Название HUSKY относится именно к этому фильтру товаров, а не к любому компоненту WooCommerce с похожей функцией.
Подключение файла не равно его загрузке
CVE-2026-92969 относится к Local File Inclusion, подключению локального файла. Обработчик данных шорткода позволял включить в выполнение PHP-файл, который уже находился на сервере.
Последствия зависят от содержимого доступного файла. Возможны обход ограничений доступа и утечка данных. Если атакующий дополнительно может разместить подходящий PHP-файл, его подключение создаёт путь к выполнению постороннего кода. Сама эта CVE не означает, что фильтр одновременно даёт произвольную загрузку файла.
Единственной проверкой доступа служил nonce woof_front_nonce. Он публиковался в JavaScript внешних страниц сайта и был доступен обычному посетителю. Такой nonce не подтверждает, что запрос выполняет администратор или другой доверенный пользователь.
Обновление и проверка магазина
Установите актуальную версию HUSKY, содержащую исправление 1.4.5. После обновления проверьте обычную фильтрацию, страницы каталога и пользовательские шаблоны, если они используются.
До установки исправления ограничьте доступ к уязвимому компоненту. При подозрительных запросах сохраните журналы и проверьте неожиданные PHP-файлы в каталогах, доступных для записи. Особенно внимательно стоит отнестись к другим функциям загрузки файлов на том же сайте.
Исправление в 1.4.5 закрывает известную ошибку подключения. Защита каталогов загрузки и контроль прав остаются полезны, поскольку несколько отдельных слабых мест могут составить одну цепочку атаки.
О риске загрузки файлов отдельно: уязвимость Web to Print Online Designer.
