5 сентября 2026 года WPScan опубликовал CVE-2026-78362 в SEO Flow by LupsOnline с 3.0.0 до 3.0.3. Неверная проверка реквизитов API позволяет постороннему получить права администратора, который настроил плагин. Исправление начинается с 3.0.3; ставить стоит актуальный поддерживаемый выпуск.
Настроенная интеграция и вход через Facebook
Для атаки на SEO Flow интеграция должна быть настроена. Это обычное рабочее состояние плагина, а не редкая отладочная опция. Поэтому наличие учётной записи у самого посетителя не является обязательной защитой.
RegistrationMagic с 5.0.1.8 до 6.0.9.9 содержит CVE-2026-77826. Вход через Facebook не проверяет, какому приложению выдан токен. Нужен токен существующего пользователя; также описано создание новой учётной записи при выключенной регистрации. Граница исправления, 6.0.9.9.
Данные базы и хеши паролей
Music Store с 1.0.245 до 1.4.5 затронут CVE-2026-82304. В запрос SQL попадают недостаточно подготовленные данные посетителя. Исправление начинается с 1.4.5.
JetFormBuilder до 3.6.5.2 содержит CVE-2026-19858. При формировании страницы не хватает проверки разрешений на чтение свойств и метаданных. Посторонний может получить частные материалы и данные пользователей, в том числе хеши паролей. Хеш не является открытым паролем, но его утечка всё равно требует отдельной оценки и мер защиты.
Комментарий может затронуть посетителей всего сайта
В Kirki с 6.2.1 до 6.3.0 CVE-2026-84219 связана с обработкой HTML-сущностей. Сохранённый в комментарии JavaScript выполняется при его показе. Если тема выводит комментарии в общей шапке или подвале, поверхность атаки расширяется. Исправление начинается с 6.3.0.
Обновите установленные компоненты, проверьте интеграции и оцените доступные журналы. При утечке секретов смените затронутые значения. Установка патча предотвращает повторную атаку, но не делает уже раскрытые сведения снова секретными.
Смежные ошибки входа разобраны в материале про MemberDash и Frontend Admin.
