18 сентября 2026 года в реестре CVE опубликовали уязвимость AF Companion: в версиях ниже 2.2.0 пользователь с ролью менеджера магазина мог через импорт загрузить произвольный файл, включая PHP. Это позволяло выполнить код на сервере. WPScan указывает исправление в 2.2.0.
Здесь требуется вход на сайт. В описанном WPScan сценарии активен WooCommerce, а атакующий имеет роль Shop Manager. Называть эту проблему загрузкой для любого анонимного посетителя было бы неверно.
Почему права менеджера оказались опаснее ожидаемого
CVE-2026-84738 находится в одной из функций импорта. Обработчик не проверял тип загружаемого файла так, чтобы исключить исполняемый PHP. Разрешённая служебная операция превращалась в возможность разместить код на сервере.
Менеджеру магазина могут быть нужны товары, заказы и импорт данных, но это не означает разрешение выполнять произвольный код. При такой ошибке граница между хозяйственной ролью и управлением сервером фактически нарушается.
Риск появляется и при намеренном злоупотреблении выданными правами, и после кражи учётной записи менеджера. Одна только уверенность в сотрудниках не защищает от второго случая. Проверка должна ограничивать саму операцию, а не полагаться на название роли.
Что сделать администратору
Проверьте AF Companion со slug af-companion и установите актуальную версию, содержащую исправление 2.2.0. После обновления протестируйте штатный импорт и убедитесь, что он не принимает исполняемые файлы вместо ожидаемых данных.
Пересмотрите список менеджеров магазина и отзовите лишние права. Если есть подозрение на использование уязвимости, сохраните журналы входов и импорта, проверьте неожиданные файлы и завершите сессии скомпрометированной учётной записи.
Версия 2.2.0 закрывает известный путь через импорт. Ограниченные права сотрудников и безопасная обработка загружаемых файлов нужны одновременно: одно не заменяет другое.
Схожая по последствиям ошибка: небезопасная загрузка в Multi Uploader for Gravity Forms.
