10 сентября 2026 года Wordfence опубликовал CVE-2026-18351 в Drag and Drop File Upload for Elementor Forms до 1.6.0 включительно. Посторонний может загрузить файл, который сервер способен выполнить как PHP. Установите актуальный исправленный выпуск расширения.
Ошибка находится в дополнительном загрузчике
Это отдельный плагин с обработчиком файлов для Elementor Forms. Нельзя переносить запись автоматически на любой сайт с Elementor. Сначала проверьте точное имя установленного пакета.
Проверка MIME использует значение из запроса, а последующая нормализация имени меняет его расширение. В результате недостаточная проверка пропускает опасный файл. Обычное ограничение поля в браузере не защищает серверный обработчик.
До установки исправления отключите уязвимый загрузчик или компонент. При подозрении на атаку проверьте новые файлы в доступных для записи каталогах. Удаление одного найденного файла не гарантирует, что последствий больше нет.
Bulk Password Reset: нужен аккаунт подписчика
Bulk Password Reset до 1.3.3 включительно содержит CVE-2026-14873. Подписчик может менять чужую почту и использовать восстановление пароля для захвата аккаунта, включая административный.
Поэтому плагин сброса паролей нужно проверять так же внимательно, как публичную форму входа. Его назначение не даёт любому зарегистрированному пользователю права управлять другими учётными записями.
Direct Download: чтение файлов без покупки нужного файла
Direct Download for WooCommerce до 1.19 включительно затронут CVE-2026-15019. Проверка наличия бесплатного виртуального скачиваемого товара не связывает запрошенный путь с файлами этого товара. Посторонний может прочитать другие серверные файлы.
Сверьте версии и исправления у разработчиков всех трёх компонентов. Если безопасный выпуск недоступен, временное отключение лучше сохранения уязвимого обработчика. При утечке конфигурации отдельно оцените необходимость смены секретов: закрытие пути чтения не отменяет уже полученные копии.
Другие ошибки загрузки разобраны в материале про Gravity Forms.
