Если на сайте стоит MIPL Grouped Checkout Fields ниже 1.2.3, гость без логина может залить произвольный файл. На практике это означает PHP в uploads и выполнение кода. Патч уже в каталоге: Wordfence и Patchstack закрывают с 1.2.3, текущая 1.2.4.
11 сентября 2026 в NVD легли четыре записи Wordfence. Первым смотреть slug mipl-wc-checkout-fields: без входа, Wordfence 9.8, Patchstack ставит 10. Дальше acymailing, sticky-chat-widget и unlimited-elements-for-elementor. Если slug в списке нет, эта дыра вас не касается.
Что закрывать сегодня
- MIPL Grouped Checkout Fields, slug
mipl-wc-checkout-fields, CVE-2026-8778. Загрузка без логина. До 1.2.2 включительно. Патч 1.2.3, каталог 1.2.4 от 2 июня 2026. - AcyMailing, slug
acymailing, CVE-2026-77807. Гость читает произвольные файлы, если в настройках включён Embed images. До 11.0.4. Патч 11.0.5 от 3 сентября, changelog прямо про image embedding. - Sticky Chat Widget, slug
sticky-chat-widget, CVE-2026-15462. SQL без логина через форму виджета. До 1.4.2. Патч Wordfence 1.4.3, каталог 1.4.4 от 31 августа. - Unlimited Elements For Elementor, slug
unlimited-elements-for-elementor, CVE-2026-18561. SQL без логина. До 2.0.16. Патч 2.0.17 от 23 августа, каталог 2.0.18. Wordfence 7.5, Patchstack 9.3.
MIPL Checkout Fields: загрузка без логина
Самая жёсткая дыра пачки. Нет проверки типа файла в загрузке с чекаута: гость кладёт что угодно. Wordfence: CVSS 9.8. Таблица закрытия: уязвимы <= 1.2.2, патч 1.2.3. Текст описания Wordfence ещё пишет 1.2.1, таблица и Patchstack закрывают 1.2.2. Для 9.8 без входа это не «обновимся в понедельник».
Changelog каталога у 1.2.3: «Fixed WordPress security issue». Дата каталога текущей 1.2.4: 2 июня 2026, 13:15 GMT. Все четыре slug из wordpress.org, wp plugin update их берёт.
Проверка
От пользователя сайта, не от root. Перед продом: копия файлов и базы. Нет slug в списке: пачка к сайту не относится.
wp plugin list --fields=name,status,version | grep -Ei 'mipl-wc-checkout-fields|acymailing|sticky-chat-widget|unlimited-elements-for-elementor' wp plugin get mipl-wc-checkout-fields --field=version wp plugin update mipl-wc-checkout-fields acymailing sticky-chat-widget unlimited-elements-for-elementor
