15 сентября 2026 года Wordfence опубликовала сведения об уязвимости JetFormBuilder. Владельцам сайтов с версиями до 3.6.2 включительно нужно установить 3.6.2.1 или более новый исправленный выпуск. Ошибка позволяет постороннему человеку создать учётную запись администратора без предварительного входа.
Уязвимость CVE-2026-12793 получила оценку 9,8. Она связана с обработкой идентификатора формы. Плагин недостаточно проверял, что переданный идентификатор действительно относится к форме JetFormBuilder, прежде чем разбирать содержимое записи и запускать серверную проверку Advanced Validation.
Почему это угрожает всему сайту
Неправильно выбранная запись может быть обработана как схема формы. В описанной цепочке это приводит к созданию нового пользователя с административными правами. Защита пароля существующего администратора не устраняет возможность создать другого.
С появлением такого аккаунта атакующий получает доступ к управлению сайтом. Поэтому после обновления важно не только проверить номер версии, но и посмотреть список пользователей с повышенными правами. Особенно внимательно стоит относиться к аккаунтам, появление которых команда не может объяснить.
Как обновить и проверить формы
Сначала сохраните резервную копию файлов и базы. Установите исправленный выпуск плагина со slug jetformbuilder и убедитесь, что отображается полная версия 3.6.2.1 или более новая исправленная. Последняя часть номера здесь существенна: 3.6.2 остаётся в уязвимом диапазоне.
После установки пройдите реальные сценарии форм: отправку заявки, регистрацию и другие включённые действия. Проверяйте их на безопасных тестовых данных. Если обновить плагин немедленно нельзя, временно отключите его, предварительно оценив влияние на страницы сайта.
Обновление устраняет известную ошибку проверки формы. Оно не удаляет автоматически аккаунт, созданный до исправления, поэтому проверка администраторов и следов изменений остаётся отдельной обязательной частью реакции на подозрительный инцидент.
О похожем захвате прав через тему рассказал в разборе уязвимости Consulting.
