16 сентября 2026 года в реестре CVE появилась уязвимость GiveWP, плагина для пожертвований: посетитель без авторизации мог изменить пароль учётной записи WordPress, связанной с донором. В реестре затронут диапазон от 4.16.6 до версий ниже 4.16.8.1. WPScan указывает исправление в 4.16.8.1.
Особенно опасен случай, когда донор связан с учёткой администратора. Тогда ошибка позволяет захватить административный доступ. Но это условие важно: речь не о произвольном администраторе, у которого вообще нет связанной записи донора.
Как путаница с почтой приводит к захвату аккаунта
В CVE-2026-85530 плагин по-разному обрабатывал адрес электронной почты при сохранении донора и при последующем поиске. Из-за этой разницы запрос постороннего мог разрешиться в запись другого человека.
Дальше ошибка затрагивала установку пароля связанного пользователя WordPress. Злоумышленнику не требовалось сначала входить на сайт. WPScan воспроизводит проблему с настройками GiveWP по умолчанию, где доступ по электронной почте уже включён.
Для сайта со сбором пожертвований последствия шире потерянного пароля. Через захваченную учётную запись можно получить доступ к данным и функциям, которые разрешены её роли. При административных правах под угрозой оказывается управление сайтом.
Что проверить после обновления
Найдите установленный плагин give и обновите его до актуальной поддерживаемой версии с исправлением 4.16.8.1. После этого проверьте вход донора, восстановление доступа и связь донорских записей с пользователями WordPress.
Просмотрите неожиданные изменения паролей, новые административные аккаунты и подозрительные действия в доступных журналах. При признаках захвата завершите действующие сессии затронутых пользователей и восстановите доступ через доверенный канал.
Патч устраняет способ подмены донора, но уже захваченная учётка сама не станет безопасной. Поэтому обновление и проверку пользовательских аккаунтов лучше выполнить вместе.
О другой утечке клиентских данных: доступ к чужим разговорам с помощником Bookly.
