Если на сайте стоит AF Companion ниже 2.2.0, пользователь с ролью shop manager через импорт может залить PHP и получить выполнение кода. Патч 2.2.0, в каталоге уже 2.2.0.
18 сентября восемь позиций. Первым смотреть slug af-companion. Рядом wp-shortcut-link, woo-price-drop-alert и product-question-and-answer: SQL без логина, патча нет, каталог закрыт с 11 сентября. Разборы в WPScan с 16 сентября, Wordfence по Mapster 17 сентября. Нет slug в списке: эта дыра вас не касается.
Что закрывать сегодня
- AF Companion, slug
af-companion, CVE-2026-84738. Из shop manager загрузка PHP через импорт, возможен код. Ниже 2.2.0. Патч 2.2.0, в каталоге 2.2.0. - WP Shortcut Link, slug
wp-shortcut-link, CVE-2026-87767. Без логина SQL. По 1.2.0. Патча нет, каталог закрыт 11.09.2026. - Price Drop Alert for WooCommerce, slug
woo-price-drop-alert, CVE-2026-87770. Без логина SQL. По 1.1. Патча нет, каталог закрыт 11.09.2026. - Product Question and Answer, slug
product-question-and-answer, CVE-2026-87771. Без логина SQL. По 1.1.0. Патча нет, каталог закрыт 11.09.2026. - Easy Form Builder, slug
easy-form-builder, CVE-2026-85122. Без логина stored XSS в админке, нужен клик. Ниже 4.2.0. Патч 4.2.0, в каталоге 4.2.1. - VikBooking, slug
vikbooking, CVE-2026-85127. Без логина SVG в чате, скрипт у администратора. Ниже 1.8.15. Патч 1.8.15, в каталоге 1.8.15. - iGMS Direct Booking, slug
igms-direct-booking, CVE-2026-88825. Без логина stored XSS в настройках виджета, ещё и у посетителя. Ниже 2.0. Патч 2.0, в каталоге 2.0. - Mapster WP Maps, slug
mapster-wp-maps, CVE-2026-12954. Из subscriber запись чужого user meta, эскалации прав нет. По 1.23.0. Патч 1.24.0, в каталоге 2.0.4.
AF Companion: PHP из роли магазина
Slug из WPScan и каталога: af-companion. WPScan ставит 9.1. Публикация WPScan 16 сентября, NVD 18 сентября.
Судя по опубликованным данным, импорт не проверяет тип файла. Роль shop manager, не гость: гостевого сценария в разборе нет. На практике это означает: если slug есть в wp plugin list, обновляйте сегодня, не в понедельник.
Патч WPScan: 2.2.0. API wordpress.org 18 сентября отдаёт 2.2.0, обновление 15 сентября. Changelog в API пустой, ориентир остаётся таблица WPScan, не readme.
Проверка
От пользователя сайта, не от root. Перед продом: копия файлов и базы. Три закрытых slug из каталога не обновляются.
wp plugin list --fields=name,status,version | grep -Ei 'af-companion|easy-form-builder|vikbooking|igms-direct-booking|mapster-wp-maps|wp-shortcut-link|woo-price-drop-alert|product-question-and-answer' wp plugin deactivate wp-shortcut-link woo-price-drop-alert product-question-and-answer wp plugin update af-companion easy-form-builder vikbooking igms-direct-booking mapster-wp-maps
