14 сентября 2026 года Wordfence раскрыла уязвимость темы Consulting. Если на сайте используется версия до 6.7.16 включительно, пользователь с правами подписчика может получить доступ от имени администратора. Исправление доступно в 6.7.17 или более новом исправленном выпуске темы.
CVE-2026-14805 относится к повышению привилегий. Для атаки нужна авторизованная учётная запись с минимальными правами. Это не атака любого анонимного посетителя, но на сайте с открытой регистрацией такой аккаунт может быть доступен постороннему человеку.
Две ошибки в служебном доступе
В описании Wordfence объединены два недостатка. Один AJAX-обработчик позволяет менять временное значение без необходимой проверки полномочий. Другая часть механизма служебного входа доверяет этому значению недостаточно строго. Вместе они позволяют обойти обычное разделение ролей.
Поэтому пароль администратора не является единственным рубежом защиты. Атакующий использует ошибку самой темы, чтобы войти как существующий пользователь с более широкими правами. После получения административного доступа под угрозой настройки, содержимое сайта и возможность установки исполняемого кода.
Обновляется тема, а не одноимённый плагин
Проверьте родительскую тему Consulting от StylemixThemes и её версию. Перед обновлением сделайте резервную копию и выясните, не вносились ли изменения прямо в её файлы. Обновление родительской темы может перезаписать такие правки, поэтому их нужно сохранить и перенести корректно.
Получайте исправленный пакет через официальный канал поставщика. После установки проверьте вход пользователей, страницы и настройки темы. Не считайте обновление какого-либо сопутствующего плагина подтверждением, что исправлена сама Consulting.
Если есть признаки постороннего доступа, дополнительно проверьте администраторов, установленные расширения и изменения файлов. Исправление закрывает известный путь повышения прав, но последствия прежнего входа требуют отдельной проверки.
О проверке прав в плагинах курсов рассказал отдельно на примере Tutor LMS.
