31 августа 2026 года Wordfence опубликовала CVE-2026-75865 в WPLP Cookie Consent. В версиях до 4.4.1 включительно посторонний посетитель может загрузить произвольный файл без входа в WordPress. Исправление этой ошибки вышло в 4.4.2. Для обновления выбирайте актуальный безопасный выпуск, а не останавливайтесь на старом минимальном номере.
Ошибка в загрузке логотипа
Проблема затрагивает обработку загрузки логотипа и проверку доступа к REST-интерфейсу коннектора. Проверки типа файла недостаточно, а ограничение доступа можно обойти. В зависимости от размещения и обработки загруженного файла это может привести к выполнению кода на сервере.
Wordfence оценивает запись в CVSS 9.8. Практический смысл оценки здесь понятен: для описанного пути атаки не нужны учётная запись или согласие администратора. Наличие баннера на странице не делает его только декоративным элементом: за ним работает серверный код.
Отдельное исправление miniOrange Social Login
CVE-2026-82229 касается другого компонента: WordPress Social Login and Register с идентификатором miniorange-login-openid. В записи Patchstack указана XSS без авторизации в версиях до 7.8.2 включительно. Исправленной отмечена версия 7.9.0.
Это не тот же самый путь загрузки файлов и не ошибка всех продуктов miniOrange. Проверять нужно точное расширение, его версию и конкретную запись безопасности.
Что сделать администратору
Сверьте названия и идентификаторы установленных плагинов. Затем установите актуальные исправленные версии из официального источника и проверьте баннер согласия и вход через социальные сервисы. Если обновление откладывается, оцените временное отключение уязвимого компонента с учётом его роли на сайте.
Если обнаружены неизвестные файлы, новые администраторы или другие признаки вмешательства, обновление не заменяет разбор инцидента. Сохраните необходимые журналы и выясните, какие изменения уже произошли.
Другой класс проблемы разобран в заметке про удаление файлов через WP File Download. Во всех случаях обновлять нужно затронутый плагин, а не только ядро.
