27 августа 2026 года WPScan опубликовал описание CVE-2026-16259 в Uix UserCenter до 1.0.3 включительно. Посторонний может изменить почту и пароль администратора без входа в WordPress. В карточке WPScan исправление по-прежнему не указано, поэтому уязвимый плагин следует отключить и заменить либо дождаться подтверждённого исправления.
Учётные записи и файлы
Uix UserCenter недостаточно проверяет, чей профиль меняет запрос. Дополнительно используется одинаковый для установок ключ подписи токена. Из-за этого наличие токена само по себе не подтверждает право менять конкретный аккаунт.
Icollect до 1.0.0 включительно затронут CVE-2026-77012. Общий секрет по умолчанию и недостаточные проверки адресов и путей позволяют читать серверные файлы, выполнять запросы от имени сервера и записывать содержимое за пределами uploads. Простая смена внешнего вида формы эти серверные обработчики не исправляет.
В User Profile Builder начиная с 3.8.1 и до 4.0.1 CVE-2026-76548 связана с загрузкой файлов через публичную часть. Посторонний получает доступ к медиатеке и изменению чужих неопубликованных материалов. В записи граница исправления указана как 4.0.1.
Платёжное подтверждение нельзя принимать на доверии
Total Processing Card Payments for WooCommerce до 7.3 включительно содержит CVE-2026-16947. Проверочный запрос можно направить на чужой сервер, раскрыть реквизиты платёжного шлюза и подделать успешное подтверждение оплаты заказа.
В BookingPress CVE-2026-76586 затрагивает версии с 1.5.6 до 1.6.3. При подтверждении PayPal не сверяется фактически уплаченная сумма с серверной ценой записи. Исправление для этой записи начинается с 1.6.3.
Публичные маршруты и секреты интеграций
Rest Routes до 5.5.5 включительно затронут CVE-2026-16061: значение публичного REST-маршрута недостаточно проверяется перед SQL-запросом. HEL Online Classroom до 1.0.3 включительно содержит CVE-2026-77007: публичный маршрут раскрывает настройки, включая общий секрет BigBlueButton.
Для каждого установленного компонента проверьте актуальное исправление у разработчика. Нельзя переносить статус исправления Uix на все семь продуктов. При утечке секрета интеграции закрытия маршрута недостаточно: скомпрометированный секрет нужно заменить. Для платёжных ошибок отдельно сверяйте реальные поступления у платёжного провайдера, а не только статус заказа в WordPress.
Ошибки установки расширений рассмотрены отдельно в материале про ProfilePress и ещё четыре плагина.
