14 сентября 2026 года VulnCheck описала уязвимость Domain For Sale. Владельцам страниц продажи доменов с версиями ниже 3.5.2 нужно установить исправленный выпуск. Из-за отсутствующей проверки полномочий посторонний посетитель может получить сведения о предложениях покупателей и удалить отдельные заявки.
Проблема получила номер CVE-2026-89023. Для обращения к уязвимым REST API не требуется аккаунт. Под угрозой контактные данные участников, суммы и подробности предложений, сообщения, проверочные токены и деловая статистика.
Закрытая панель не защищает открытый API
Ошибка находится в проверке доступа к данным, а не в форме входа в админку. Злоумышленник может обратиться к соответствующему программному интерфейсу напрямую. Поэтому надёжный пароль администратора не устраняет эту уязвимость.
Кроме чтения сведений, в описании указано удаление предложений по числовому идентификатору. Для продавца это означает не только риск утечки, но и потерю поступивших заявок. Неожиданно пустой список нельзя автоматически объяснять отсутствием интереса к домену.
Что проверить при обновлении
Убедитесь, что речь именно о плагине ThemeAtelier Domain For Sale. Сделайте резервную копию базы, установите 3.5.2 или более новый исправленный выпуск, затем проверьте отправку предложения и его появление в панели владельца. Сохранённые заявки должны остаться доступными ответственным пользователям.
Если обновить плагин сразу нельзя, временно остановите его использование. При подозрении на утечку отдельно оцените, какие данные покупателей хранились в заявках и кому внутри команды нужно сообщить об инциденте. Проверочные токены, если они используются в вашем процессе, также требуют внимания.
Обновление исправляет контроль доступа, но не восстанавливает уже удалённые записи и не отменяет возможное раскрытие данных. Поэтому резервная копия и проверка истории заявок нужны отдельно от установки новой версии.
Другой пример ошибки проверки прав разобран в статье про платёжный плагин CryptoPayment Gateway.
