10 сентября 2026 года WPScan опубликовал CVE-2026-77770 в miniOrange 2FA. Публичный запрос позволяет удалить произвольные настройки WordPress и нарушить доступ администраторов. Исправления начинаются с 6.3.1 и 19.3 для соответствующих веток продукта.
Удаление настроек без проверки операции
Уязвимы ветки с 5.3.24 до 6.3.1 и с 18.0 до 19.3. Обработчик не требует подтверждённой транзакции перед удалением параметров, имена которых приходят из запроса.
Проверяйте редакцию установленного плагина, а не только знакомое название miniOrange. Номер исправления одной ветки не подходит для сравнения с другой.
zipMoney Payments для WooCommerce до 2.4.0 содержит CVE-2026-78361 с похожим последствием: недостаточная проверка прав позволяет удалять настройки сайта. Исправление начинается с 2.4.0. При сбое доступа пригодится заранее проверенная резервная копия базы.
Site Reviews: важны секреты установки
Site Reviews с 7.2.2 до 8.3.0 затронут CVE-2026-82925. На установках с отсутствующим, образцовым или недостаточно секретным nonce-ключом возможно создание PHP-объекта из недоверенных данных. Дальнейшее воздействие зависит от другого кода на сайте: самостоятельной цепочки в компоненте нет.
Установка полноценного секретного ключа полезна, но не заменяет обновление до исправленного выпуска.
Подарочная карта должна соответствовать оплате
Ultimate Gift Cards for WooCommerce до 3.2.10 содержит CVE-2026-19436: номинал выданной карты не сверяется с реально уплаченной суммой.
CVE-2026-19439 затрагивает версии с 3.0.3 до 3.2.10 и раскрывает сведения о чужих картах и заказах. В 3.2.9 среди них есть действующий код погашения; в 3.0.3 до 3.2.8 раскрытие не включает этот код. Обе ошибки исправлены начиная с 3.2.10.
Обновите установленные компоненты. Для магазина отдельно сверьте выданные карты, фактические оплаты и использование кодов. Обновление обработчика не отменяет уже выпущенный ошибочный баланс.
Другие платёжные риски рассмотрены в статье про Event Tickets и подмену Stripe.
