Если на сайте стоит Paytium не выше 5.0.3 и форма открыта гостю, чужой человек проводит платёж и забирает новую учётку администратора. Дальше хватает обычного «забыли пароль» на почту, которую он сам вписал. В каталоге это закрыто в 5.0.4, свежая сборка уже 5.0.5.
23 и 24 сентября рядом ещё два slug. Кэш блог-карточек в YAHMAN Add-ons ниже 0.9.31 пускает гостя с PHP в публичную папку, если функция включена: WPScan. Import and export users and customers по 2.4.17 срабатывает не сам: администратор должен прогнать экспорт обратно и включить обновление ролей. Нет slug в списке плагинов: эта строка не про вас.
- Paytium: Mollie payment forms & donations, slug
paytium, CVE-2026-18467. Без логина, новая учётка администратора. По 5.0.3 включительно. Патч 5.0.4, в каталоге сейчас 5.0.5. - YAHMAN Add-ons, slug
yahman-add-ons, CVE-2026-75799. Без логина, PHP через кэш блог-карточек, только если функция включена. Ниже 0.9.31. Закрыто в 0.9.31, в каталоге та же версия. - Import and export users and customers, slug
import-users-from-csv-with-meta, CVE-2026-86583. От подписчика до администратора, если админ сам делает обратный импорт с «Update existing users» и «Update roles for existing users» в yes. По 2.4.17. Патч 2.4.18, в каталоге 2.5.4.
Paytium, slug paytium
Июньский 5.0.3 в changelog уже числится латкой на скрытую роль. Wordfence по CVE-2026-18467 это не подтверждает: подпись встала на одно поле, соседнее по-прежнему пишет роль в мета оплаты, и из неё создаётся пользователь.
Публичной формы нет или платёж обрывается: путь молчит. Ниже 5.0.4 всё равно не оставляйте. CVSS 9.8, без входа. 5.0.5 чинит загрузку старой библиотеки Mollie и эту дыру не отменяет.
Оба остальных slug тоже в каталоге. Блог-карточки выключены: PHP из отчёта WPScan не ваш случай, версию ниже 0.9.31 всё равно поднимите. Импорт молчит, пока CSV не гоняют обратно с обеими галками.
Перед обновлением на проде снимите бэкап базы и wp-content.
wp plugin list --fields=name,status,version | grep -Ei 'paytium|yahman-add-ons|import-users-from-csv-with-meta' wp plugin get paytium --field=version wp plugin update paytium yahman-add-ons import-users-from-csv-with-meta
