1 сентября 2026 года Wordfence опубликовал CVE-2026-18550 в теме Nokri до 1.6.6 включительно. Посторонний может сбросить пароль пользователя, включая администратора. Если тема используется на сайте, установите актуальное исправление и проверьте учётные записи.
Nokri и Support Genix: два пути к чужому аккаунту
В Nokri обработчик восстановления неверно проверяет пустой токен. В Support Genix до 1.4.52 включительно CVE-2026-19806 связана с недостаточно стойким ключом гостевых токенов. Для описанной атаки нужны аккаунт подписчика, действующий гостевой токен и дополнительные сведения для перебора ключа. При подходящих условиях можно получить сессию администратора.
Команды сервера и загрузка файлов
FS Poster до 8.0.1 включительно содержит CVE-2026-10195. Подписчик может передать значение пути к FFmpeg в недостаточно защищённый обработчик и выполнить команды на сервере. Минимальная роль здесь Subscriber, а не Author.
Gravity Forms до 3.0.2 включительно затронут CVE-2026-19513. Нужна публичная форма с файловым полем в режиме Multiple Files. Ошибка позволяет записать файл с опасным расширением во временный каталог. Выполнение PHP зависит от веб-сервера: штатная защита через .htaccess не действует на nginx. Если выполнение PHP закрыто, размещённый HTML всё ещё может привести к XSS при посещении файла.
Публичная форма может дать доступ к удалению файлов
Frontend Admin до 3.29.12 включительно содержит CVE-2026-19952. При общедоступной форме посетитель может получить нужный nonce и удалить серверный файл через недостаточную проверку пути. Наличие nonce здесь не заменяет проверку прав.
Проверьте все пять компонентов, а не только тему из заголовка. Для платного пакета используйте обновление разработчика. Если исправление пока недоступно, отключите уязвимую функцию или компонент. После признаков атаки отдельно проверьте изменения пользователей и файлов: установка патча не отменяет уже выполненные действия.
Другие ошибки публичных форм разобраны в материале про Sigma Forms и расширения регистрации.
