Если на сайте стоит плагин регистрации Pie Register Premium версии 3.8.4.0 или ниже, человек без пароля может залить PHP-файл, и сервер его выполнит. Это CVE-2026-84999, Wordfence ставит 9.8. Закрыто в 3.8.4.1. В каталоге wordpress.org плагина нет, обновление из кабинета Pie Register.
27 и 28 октября первым смотрите Pie Register Premium: загрузка файла без пароля. Рядом два соцвхода. Qode Membership до 2.0.6.2 пускает в чужой аккаунт, патч 2.0.6.3. Jupiter X Core до 4.61.0 открывает вход в аккаунт владельца приложения X, патч 4.62.0 уже в каталоге.
- Pie Register Premium, slug pie-register-premium. Версии по 3.8.4.0 включительно. Без логина загрузка файла, который может выполниться как PHP. Патч 3.8.4.1. В каталоге wordpress.org нет.
- Qode Membership, slug qode-membership. Версии по 2.0.6.2 включительно. Без логина вход в любой существующий аккаунт, включая администратора, если известен логин. Nonce формы уже на публичной странице входа или регистрации. Патч 2.0.6.3. В каталоге нет, плагин идёт с темой Bridge.
- Jupiter X Core, slug jupiterx-core. Версии по 4.61.0 включительно. Без логина плагин пускает в пользователя WordPress с почтой владельца приложения X. Как пишет Wordfence, обычно это администратор. Патч 4.62.0 в каталоге.
Pie Register Premium
Проверка типа файла в загрузке есть, но плагин не смотрит, вернула ли она ошибку, и всё равно сохраняет файл. Ни nonce, ни прав на этот запрос нет. В ответе приходит имя сохранённого файла. Если каталог загрузок выполняет PHP, это уже чужой код на сервере. Версию 3.8.4.1 ставите из кабинета вендора. Командой wp plugin update его не обновить.
Если slug есть и версия ниже патча, обновляйте сегодня, не в понедельник. Перед обновлением jupiterx-core снимите бэкап файлов и базы. Pie Register Premium и Qode Membership из каталога wordpress.org не обновить.
wp plugin list --fields=name,status,version | grep -Ei 'pie-register-premium|qode-membership|jupiterx-core' wp plugin get jupiterx-core --field=version wp plugin update jupiterx-core
Если ни pie-register-premium, ни qode-membership, ни jupiterx-core в списке плагинов нет, эти дыры сайта не касаются.
