В опубликованной 31 августа 2026 года записи CVE-2026-66047 от VulnCheck описана ошибка ProfilePress до 4.17.2. Посторонний может установить и активировать произвольный плагин, что позволяет выполнить PHP-код с правами веб-сервера. Исправление этой ошибки вышло в 4.17.2; для работающего сайта нужен актуальный поддерживаемый выпуск с последующими исправлениями.
ProfilePress: слабая проверка токена подключения
Уязвимость затрагивает AJAX-обработчик подключения плагина. По описанию VulnCheck, атакующий может перебрать недостаточно стойкий токен и передать собственный адрес пакета для установки. Наличие формы регистрации на сайте не является достаточным объяснением риска: здесь опасен сам доступ к операции установки расширения.
В WordPress компонент известен под идентификатором wp-user-avatar. Это полезно учитывать при проверке списка плагинов: историческое имя каталога и нынешний бренд могут различаться.
Две ошибки в отзывах и формах
CVE-2026-76585 затрагивает Customer Reviews for WooCommerce до 5.118.0. Недостаточная обработка содержимого отзывов позволяет посетителю сохранить JavaScript, который выполнится при отображении данных. Для этой записи граница исправления указана как 5.118.0.
CVE-2026-81660 относится к Groundhogg до 4.5.13. Значения некоторых необязательных полей формы сохраняются и выводятся в административной части без достаточной проверки. Это тоже сохранённая XSS: вредоносный ввод попадает к пользователю с высокими правами через обычный рабочий интерфейс.
Ни одна из этих ошибок не требует выдавать посетителю административную роль. Опасность в том, что администратор затем открывает страницу с уже сохранёнными данными.
Резервная копия и отражённый XSS
В Keep Backup Daily до 2.1.4 CVE-2026-75133 позволяет без входа запустить создание дампа базы и получить сформированный файл из общедоступного каталога. Такая копия может содержать чувствительные данные сайта. Само наличие плагина резервного копирования не означает, что созданные им файлы защищены от скачивания.
В Geotargeting WP до 3.5.6.2 описана CVE-2026-14307, отражённая XSS. Для неё нужен специально сформированный запрос, который выполнит жертва. Это другой сценарий, чем сохранение вредоносного отзыва в базе.
Порядок действий
Сначала проверьте, какие из перечисленных компонентов действительно стоят на сайте. Для затронутых установите актуальные исправленные версии из официальных источников. Приведённые номера показывают границы конкретных ошибок, а не гарантируют безопасность любых более поздних сборок.
Затем проверьте формы, отзывы, вход и резервное копирование. При признаках посторонних действий отдельно исследуйте список администраторов, изменения файлов и доступность старых дампов. Обновление закрывает известный путь атаки, но не удаляет уже оставленные последствия.
Ещё один путь атаки через серверный код плагина разобран в материале о загрузке файлов через cookie-баннер WPLP.
