19 сентября 2026 года в реестре CVE опубликовали уязвимость Botiga Pro: в версиях ниже 1.6.5 посетитель без авторизации мог изменять произвольные настройки WordPress. Это создавало риск повышения привилегий и полного захвата сайта. WPScan указывает исправление в 1.6.5.
Botiga Pro используется вместе с темой Botiga. В сценарии WPScan также активен WooCommerce. Проверять нужно установленное Pro-дополнение, а не только название темы или версию самого WordPress.
Один обработчик открывал несколько опасных действий
В CVE-2026-86591 один из REST-маршрутов не проверял полномочия вызывающего пользователя. Запрос от постороннего мог менять параметры, доступ к которым должен оставаться у администратора.
Тем же путём можно было сохранить произвольный веб-скрипт, который затем выполнялся на страницах сайта, и перемещать записи в корзину. Поэтому последствия не ограничивались испорченным внешним видом или одной неверной настройкой.
Сохранённый скрипт способен затронуть посетителей и пользователей сайта в пределах доступных ему возможностей. При проверке инцидента нужно учитывать и настройки, и содержимое страниц, а не искать только новый административный аккаунт.
Обновление и проверка последствий
Установите актуальную версию Botiga Pro с исправлением 1.6.5 через канал разработчика. После этого проверьте работу шаблонов и основные страницы магазина. Если быстро обновить дополнение нельзя, временно отключите уязвимый компонент.
Просмотрите параметры регистрации, роль нового пользователя, список администраторов и записи в корзине. Отдельно проверьте неожиданные скрипты во внешней части сайта и доступные журналы запросов к REST API.
При подтверждённом захвате одного патча недостаточно. Понадобится восстановить настройки из доверенного состояния, удалить посторонний код и завершить скомпрометированные сессии.
Версия 1.6.5 закрывает известную ошибку доступа. Для уже работавшего сайта важно также убедиться, что посторонний не успел воспользоваться открытым обработчиком до обновления.
Другой пример нарушения границ роли: небезопасный импорт AF Companion.
