24 сентября 2026 года в реестре CVE опубликовали уязвимость платёжного плагина Paytium: в версиях по 5.0.3 включительно посторонний мог зарегистрировать учётную запись администратора. Для атаки требовалось отправить публичную форму Paytium и завершить платёжный процесс. В журнале разработчика исправление указано для 5.0.4.
Это существенное условие: речь не о мгновенном получении прав одним открытием страницы. Но публичная форма оплаты и завершение платежа были достаточны для создания опасного пути без предварительной авторизации в WordPress.
Предыдущее исправление оставляло второй путь
В CVE-2026-18467 версия 5.0.3 уже проверяла подпись в одном из каналов обработки пользовательских данных. Однако другой обработчик копировал присланные поля в метаданные платежа без такой проверки.
Значение роли пользователя могло перезаписать результат защищённой обработки. При создании учётной записи плагин передавал сохранённую роль в WordPress. Злоумышленник получал возможность создать администратора, а затем установить доступ через стандартное восстановление пароля на указанную им почту.
Поэтому 5.0.3 нельзя считать достаточным исправлением этой ошибки. Защита одного входа не помогала, пока второй обработчик мог записать то же чувствительное значение.
Что проверить после обновления
Найдите плагин paytium и установите актуальную версию с исправлением 5.0.4. После этого проверьте настройки создания пользователей и разрешённых ролей в платёжных формах. Обычная оплата не должна неожиданно давать административные полномочия.
Просмотрите новые административные учётные записи, особенно появившиеся после платежей, и подозрительные операции восстановления пароля. При необходимости сопоставьте время регистрации с записями платежей и журналами сайта.
До обновления временно отключите затронутый сценарий регистрации через оплату. Патч закрывает известный обход, но не удаляет администратора, которого могли создать раньше. Поэтому проверку списка пользователей стоит выполнить сразу после обновления.
Другой способ захвата связанной учётной записи: ошибка доступа к донорам в GiveWP.
