21 сентября 2026 года в реестре CVE появилась уязвимость Web to Print Online Designer, плагина для онлайн-дизайна печатной продукции. Посетитель без авторизации мог загружать произвольные файлы, включая PHP, и выполнять код на сервере. В реестре затронуты версии от 1.7.0 до версий ниже 2.15.0; WPScan указывает исправление в 2.15.0.
Проверять нужно плагин со slug web-to-print-online-designer. Возможность загрузки макетов полезна покупателям, но сервер обязан отличать разрешённые материалы от файлов, которые могут исполняться как программа.
Токен не был ограничением доступа
CVE-2026-82187 объединяет две проблемы. Обработчик не проверял должным образом тип и расширение файла, а токен, защищавший загрузку, выдавался любому посетителю по запросу.
Наличие токена создавало проверку формального условия, но не подтверждало право пользователя на опасную операцию. Получив его обычным доступным способом, посторонний мог передать файл, который сервер не должен принимать.
Поэтому закрытый вход в административную панель не устранял риск. Атака шла через доступную посетителям функцию самого плагина и не требовала сначала получить учётную запись WordPress.
Что сделать владельцу магазина
Обновите плагин до актуальной поддерживаемой версии, содержащей исправление 2.15.0. Затем проверьте загрузку обычных макетов и отклонение исполняемых файлов на тестовой копии сайта.
До обновления временно отключите затронутую функцию или сам плагин. Запрет исполнения PHP в каталогах загрузки полезен как дополнительный барьер, но не заменяет проверку принимаемых файлов.
Если есть подозрение на использование уязвимости, проверьте новые файлы, неожиданные задания и учётные записи, сохраните журналы запросов. При выполнении постороннего кода нужно разбирать состояние всего сайта, а не только очищать каталог загрузок.
Исправление закрывает известный путь атаки. Безопасная загрузка при этом должна оставаться частью общей настройки магазина: ограниченные типы файлов, контролируемое хранение и отсутствие лишних прав на исполнение.
Для форм приёма файлов есть отдельный пример: уязвимость Gravity Forms со скрытым полем File Upload.
