5 сентября 2026 года Wordfence опубликовал CVE-2026-83627 в Hummingbird до 3.21.0 включительно. Если включены кеш страниц и отладочный журнал, посторонний может записать PHP в журнал и выполнить его. Установите актуальный исправленный выпуск; до обновления отключите отладочный журнал кеша.
Журнал и проверка токенов
У Hummingbird защита начала PHP-файла с журналом может не записаться при его создании из публичного запроса. Затем туда попадает неподготовленное значение cookie. Условие важно: Debug Log не включён по умолчанию.
MStore API до 4.20.0 включительно содержит CVE-2026-13447. При входе через Firebase Phone Auth не проверяется криптографическая подпись JWT. Проверка полей токена без проверки подписи не доказывает личность пользователя.
Десериализация и действия администратора
Mail Mint до 1.31.0 включительно затронут CVE-2026-10196. В публичной форме возможна подстановка PHP-объекта, но выполнение кода требует подходящей цепочки классов. Исправление в 1.23.1 было лишь частичным.
Welcart e-Commerce до 2.12.1 включительно содержит CVE-2026-19887. Опасная обработка метаданных заказа позволяет подготовить удаление файла, причём нужная цепочка есть во встроенном TCPDF. Удаление срабатывает при печати счёта администратором.
В Abandoned Cart Pro до 10.7.1 включительно CVE-2026-81543 позволяет подписчику менять SMTP-настройки и перехватывать письма со ссылками автоматического входа. Для атаки нужна включённая функция auto-login; она включена по умолчанию.
Обработчики ComboBlocks
CVE-2024-11080 описывает запуск действий WordPress через публичные формы Post Grid / ComboBlocks при отсутствии дополнительной защиты вызываемого обработчика. Это не означает, что любая такая команда обязательно выполнит код: результат зависит от доступных действий и их собственных проверок.
Проверьте актуальные исправления всех установленных компонентов. При признаках вмешательства пересмотрите почтовые настройки, пользователей и серверные файлы. Закрытие уязвимости не восстанавливает уже изменённую конфигурацию.
Другие ошибки обработчиков разобраны в подборке про игровые и служебные плагины WordPress.
