Если на магазине стоит плагин формы Registration Form for WooCommerce не новее 1.1.4, посетитель при оформлении заказа может завести себе учётку администратора. Это CVE-2026-119075, Wordfence ставит 9.8. Патч 1.1.5 уже в каталоге.
Рядом LatePoint, запись на услуги, около 100 тысяч установок, и Naimur Email OTP, код на почту, около сорока. Если ни registration-form-for-woocommerce, ни latepoint, ни naimur-email-otp-for-woocommerce в плагинах нет, эти дыры сайта не касаются.
- Registration Form for WooCommerce, slug
registration-form-for-woocommerce, CVE-2026-119075. По 1.1.4 включительно. При создании учётки на оформлении заказа можно стать администратором. Патч 1.1.5. Около тысячи установок. - LatePoint, slug
latepoint, CVE-2026-118066. По 5.7.6. Без пароля забирается кабинет клиента: записи, заказы, личные данные. Связанная учётка WordPress, если клиенты заведены как пользователи, с ролью подписчика или клиента. Патч 5.7.7, в каталоге 5.7.8. Wordfence 9.1. - Naimur Email OTP, slug
naimur-email-otp-for-woocommerce, CVE-2026-104014. По 2.1.0. Человек запросил сброс, ввёл код и не задал новый пароль: отметка «проверено» остаётся, и по почте можно войти. Если учётка администраторская, сайт уходит целиком. Патч 2.1.1, в каталоге 2.1.2.
Registration Form for WooCommerce
На странице «Мой аккаунт» выбранная роль сверяется со списком, который разрешён в этой форме. На оформлении заказа список не проверяется: роль из запроса записывается новому пользователю. Стать администратором можно без пароля, если магазин создаёт аккаунт при заказе.
6 ноября 2026 это закрыли в 1.1.5: роль с оформления больше не проходит мимо списка формы. Каталог сейчас отдаёт 1.1.5. Версию ниже обновляйте сегодня, не в понедельник.
Перед обновлением на проде снимите копию базы и файлов. Все три slug есть в каталоге wordpress.org.
wp plugin list --fields=name,status,version | grep -Ei 'registration-form-for-woocommerce|latepoint|naimur-email-otp-for-woocommerce' wp plugin get registration-form-for-woocommerce --field=version wp plugin update registration-form-for-woocommerce latepoint naimur-email-otp-for-woocommerce
