11 сентября 2026 года WPScan опубликовал CVE-2026-14560 в Teddy Bear Customize Addon до 1.0.5 включительно. Посторонний может загрузить PHP-файл и выполнить код на сервере. Отключите уязвимую версию, если для неё нельзя немедленно установить подтверждённое исправление.
Тип файла нельзя принимать от посетителя
Обработчик доверяет переданному клиентом типу содержимого и сохраняет исходное имя. Этого недостаточно для безопасной загрузки. Файл может оказаться исполняемым, даже если поле в браузере предлагает выбрать только привычный формат.
После обнаружения такого компонента проверьте доступные для записи каталоги и изменения файлов. Смена пароля не закрывает незащищённый загрузчик. Если код уже выполнялся, последствия могут выходить за пределы одного загруженного файла.
Тот же плагин выдаёт сессию без проверки пароля
CVE-2026-14559 затрагивает тот же пакет до 1.0.5 включительно. Для входа достаточно передать email существующего пользователя, включая администратора. Пароль перед выдачей сессии не проверяется.
Advanced Customized Prompts до 1.0.1 включительно содержит похожую CVE-2026-14563. Помимо входа в чужой аккаунт описана возможность создавать новые учётные записи. Проверьте точные имена пакетов, а не только видимые элементы страницы входа.
Gutenverse News: опасный комментарий
Gutenverse News до 3.3.3 содержит CVE-2026-85677. Расширенный список разрешённого HTML применяется и к недоверенным комментариям. В результате сохранённый JavaScript может выполниться у администратора при просмотре очереди и у посетителей после одобрения комментария.
Исправление начинается с 3.3.3, но для рабочего сайта используйте актуальный поддерживаемый выпуск. Отключение комментариев уменьшает конкретный путь атаки, однако не заменяет исправление обработки HTML.
Проверьте все три продукта. При неизвестных сессиях, пользователях или файлах потребуется разбор вмешательства. Отключение плагина закрывает его обработчики, но не удаляет изменения, которые уже успел сделать посторонний.
Другие ошибки файловых обработчиков разобраны в статье про загрузчик для Elementor Forms.
