Если на сайте стоит Tutor LMS по 4.0.7 включительно, subscriber может выполнить код: сохранение реквизитов вывода без проверки прав. Патч уже в каталоге: 4.0.8. Wordfence ставит 8.8.
13 сентября 2026 в NVD легли восемь позиций по плагинам. Первым смотреть slug tutor. Рядом memberpress-corporate: корпоративный subscriber заводит администратора, патч Wordfence 1.6.0, пакет не из wordpress.org. Остальные шесть slug без известного фикса, каталог закрыт. Если slug в списке нет, эта дыра вас не касается.
Что закрывать сегодня
- Tutor LMS, slug
tutor, CVE-2026-78175. RCE из subscriber, при открытой регистрации учётка с улицы. По 4.0.7. Патч 4.0.8, в каталоге уже есть. - MemberPress Corporate Accounts, slug
memberpress-corporate, CVE-2026-15451. Из корпоративного subscriber в администраторы. По 1.5.39. Патч 1.6.0, кабинет вендора, неwp plugin update. - WebTotem Backups, slug
wt-backups, CVE-2026-77006. Subscriber удаляет произвольные файлы. По 1.0.1. Патча нет, каталог закрыт 4.09.2026. - Yogeta WP Cloud, slug
yogeta-wp-cloud, CVE-2026-80494. Без логина скачивает любой файл с сервера. По 1.0. Патча нет, каталог закрыт 28.08.2026. - SAMO Forms, slug
samo-forms, CVE-2026-80491. SQL-инъекция без логина. По 1.0.0. Патча нет, каталог закрыт 28.08.2026. - Album Cover Finder, slug
album-cover-finder, CVE-2026-84047. SQL-инъекция без логина. По 0.7.0. Патча нет, каталог закрыт 1.09.2026. - wpstorecart, slug
wpstorecart, CVE-2026-84099. Без логина объектная инъекция в бандле. По 5.0.7. Патча нет, каталог закрыт 6.03.2015. - BE REST Endpoints, slug
be-rest-endpoints, CVE-2026-81742. Без логина правит виджеты и кладёт скрипт. По 1.0.0. Патча нет, каталог закрыт 28.08.2026.
Tutor LMS: RCE из subscriber
Slug из каталога, на проде не редкость. На 13 сентября 2026 wordpress.org отдаёт 4.0.8 (10 сентября, 20:12 GMT). Patchstack ставит ту же 8.8 и тот же патч.
Судя по опубликованным данным, обработчик tutor_save_withdraw_account принимает данные subscriber без проверки прав, дальше объектная инъекция и выполнение кода. Условие Wordfence: включена монетизация. Если открыта регистрация студентов, учётка берётся с улицы. Changelog 4.0.8 про дыру молчит: ориентир карточка Wordfence, не readme.
Проверка
От пользователя сайта, не от root. Перед продом: копия файлов и базы. Нет slug в списке: пачка к сайту не относится. Из каталога только tutor. Шесть закрытых slug выключить. MemberPress Corporate обновляют из кабинета вендора.
wp plugin list --fields=name,status,version | grep -Ei 'tutor|memberpress-corporate|wt-backups|be-rest-endpoints|samo-forms|yogeta-wp-cloud|album-cover-finder|wpstorecart' wp plugin get tutor --field=version wp plugin update tutor wp plugin deactivate wt-backups be-rest-endpoints samo-forms yogeta-wp-cloud album-cover-finder wpstorecart
