Если Prime Mover (slug prime-mover) стоит на 2.2.1 или ниже, чужой без учётки может оставить в комментарии сериализованный объект. Разбор идёт при экспорте или восстановлении, и тогда можно переписать настройки WordPress. Плагин про бэкап и перенос, установок больше 10 тысяч. В каталоге это закрывает 2.2.2. По CVE-2026-115806 Wordfence ставит 9.8.
24 октября проверьте ещё два slug, если они стоят. Advanced Custom Fields: Extended ниже 0.9.2.8, конструктор полей и форм, установок больше 100 тысяч. Дыра есть, только если форма отдаёт посетителю и выбор записи, и её текст. Тогда без входа переписываются посты, включая определения полей, и на сервере выполняется код. Патч 0.9.2.8 у acf-extended и у Pro. NotificationX с 2.0.0 и ниже 2.3.12 читает базу через SQL-инъекцию без входа. Патч 2.3.12, в каталоге сейчас 3.3.5.
- Prime Mover, slug
prime-mover, CVE-2026-115806. По 2.2.1. При переносе объект из комментария может переписать настройки. Патч 2.2.2. - Advanced Custom Fields: Extended, slug
acf-extendedиacf-extended-pro, CVE-2026-94267. Ниже 0.9.2.8, патч 0.9.2.8. Бесплатный в каталоге, Pro в каталоге wordpress.org нет. - NotificationX, slug
notificationx, CVE-2022-51021. С 2.0.0 и ниже 2.3.12, патч 2.3.12. Сейчас в каталоге 3.3.5.
В 2.2.1 разбор при переносе принимает чужой PHP-объект (PHP object injection). Цепочка уже в библиотеке Freemius внутри плагина. Конец цепочки: запись чужой опции WordPress. Wordfence относит к уязвимым версии по 2.2.1. С 19 октября в каталоге лежит 2.2.2, changelog описывает эту правку. До неё экспорт и восстановление отложите.
Перед обновлением на проде снимите копию файлов и базы, не пакетом уязвимого Prime Mover. Из каталога обновляются prime-mover, acf-extended и notificationx. acf-extended-pro в каталоге wordpress.org нет, его обновляют у автора, тоже до 0.9.2.8.
wp plugin list --fields=name,status,version | grep -Ei 'prime-mover|acf-extended|notificationx' wp plugin get prime-mover --field=version wp plugin update prime-mover acf-extended notificationx
После обновления Prime Mover не ниже 2.2.2, acf-extended не ниже 0.9.2.8, NotificationX не ниже 2.3.12. Если ни одного из этих slug в списке нет, эти дыры сайта не касаются.
