2 сентября 2026 года WPScan опубликовал CVE-2026-4357 в Embed HTML5 Game до 1.3 включительно. Плагин недостаточно ограничивает право загрузки и тип файлов. Посторонний может разместить PHP-файл на сайте. Уязвимую версию нельзя оставлять включённой без подтверждённого исправления.
Выполнение кода и повышение прав
WatchMan-Site7 с 3.1.1 до 4.2.0 включительно содержит CVE-2026-77009: консоль отладки доступна обычному зарегистрированному пользователю и выполняет переданный PHP. В Amelia Premium с 8.0 до 9.6.2 включительно CVE-2026-9055 позволяет через недостаточно проверенное изменение клиента перейти к роли менеджера и затем захватить администратора.
DevKit Pro до 2.3.0 включительно затронут CVE-2026-14357. Подписчик может установить архив темы с PHP-файлами. Developer Tools до 1.1.3 включительно содержит CVE-2025-9314 в поставляемом SWFUpload: загрузка произвольного файла доступна без входа.
Удаление файлов требует отдельного условия
В SigmaForms Pro до 1.4.11 включительно CVE-2026-78657 позволяет сохранить опасный путь вместе с отправленной формой. Удаление серверного файла происходит позднее, когда администратор удаляет эту заявку. Это не та же ошибка загрузки, что была описана для ранних версий Sigma Forms.
Не всякая десериализация означает самостоятельное выполнение кода
User Frontend до 4.3.11 затронут CVE-2026-19116. При повторном открытии отправленной записи для редактирования подписчик может добиться создания PHP-объекта из недоверенных данных. Для выполнения кода нужна подходящая цепочка классов на сайте. Исправление начинается с 4.3.11.
FAQ Builder AYS начиная с 1.6.3 и до 1.8.5 содержит CVE-2026-81737. Переданные посетителем данные могут выполнить JavaScript в административном интерфейсе. Исправление начинается с 1.8.5.
Сверьте установленные продукты с этой подборкой и поставьте актуальные исправленные выпуски. Отсутствие входа в админку у посетителя не защищает публичные обработчики. Для компонентов без подтверждённой безопасной версии разумнее временное отключение, чем надежда на незаметность сайта.
Смежные риски разобраны в подборке про Nokri, Gravity Forms и другие расширения.
