Если на сайте стоит Teddy Bear Customize Addon по 1.0.5 включительно, гость без логина может залить PHP и выполнить код. Патча нет: WPScan пишет No known fix, Patchstack – No official patch available. Если slug есть в списке, плагин лучше выключить сегодня, не в понедельник.
11 сентября 2026 в NVD легли четыре записи WPScan. Первым смотреть slug teddy-bear-customize-addon: загрузка без логина, CVSS 10.0, и вход по одному email. Рядом advanced-customized-prompts: тот же обход входа, плюс создание учёток. Дальше gutenverse-news: XSS в комментариях, патч 3.3.3 уже в каталоге. Wordfence Intelligence по этим CVE ничего не отдаёт. Если slug в списке нет, эта дыра вас не касается.
Что закрывать сегодня
- Teddy Bear Customize Addon, slug
teddy-bear-customize-addon, CVE-2026-14560. Загрузка PHP без логина. До 1.0.5 включительно. Патча нет, в wordpress.org slug не отдаётся. - Тот же slug, CVE-2026-14559. Вход без пароля по email, в том числе администратором. До 1.0.5. Патча нет.
- Advanced Customized Prompts, slug
advanced-customized-prompts, CVE-2026-14563. Вход по email без пароля или создание учётки. До 1.0.1. Патча нет, в каталоге slug нет. - Gutenverse News, slug
gutenverse-news, CVE-2026-85677. XSS через комментарий: срабатывает у администратора в очереди и у посетителя после одобрения. Ниже 3.3.3. Патч 3.3.3, changelog про wp_kses_allowed_html. Каталог 3.3.3 от 8 сентября 2026, 02:09 GMT.
Teddy Bear Customize Addon: загрузка без логина
Самая жёсткая дыра пачки. В NVD и у Patchstack оценка 10.0: без логина, без клика жертвы. Тип файла берётся с клиента, исходное имя сохраняется. На практике это означает PHP в uploads. Для CVSS 10.0 без входа это не «обновимся в понедельник».
На том же slug вторая дыра, CVE-2026-14559: сессия выдаётся по email, пароль не проверяют. Пакета в wordpress.org нет, wp plugin update его не закроет. Патча нет: выключить или снять с проды.
Проверка
От пользователя сайта, не от root. Перед продом: копия файлов и базы. Нет slug в списке: пачка к сайту не относится. Из каталога wordpress.org здесь только gutenverse-news.
wp plugin list --fields=name,status,version | grep -Ei 'teddy-bear-customize-addon|advanced-customized-prompts|gutenverse-news' wp plugin get gutenverse-news --field=version wp plugin update gutenverse-news wp plugin deactivate teddy-bear-customize-addon advanced-customized-prompts
