6 сентября 2026 года Wordfence опубликовал CVE-2026-16310 в MemberDash до 1.8.5 включительно. Посторонний может подставить чужой идентификатор при регистрации и изменить пароль пользователя, включая администратора. Установите актуальное исправление и проверьте последние изменения учётных записей.
Идентификатор из формы не подтверждает права
MemberDash доверяет переданному значению id без достаточной проверки владельца. В результате операция регистрации затрагивает существующего пользователя. По описанию Wordfence, уведомление о такой смене пароля жертве не отправляется.
Отсутствие письма поэтому не доказывает, что аккаунт не менялся. При подозрении на атаку важнее проверить пользователей, почтовые адреса, доступные журналы и неизвестные административные сессии.
Frontend Admin: сначала меняется почта
CVE-2026-75816 затрагивает Frontend Admin до 3.29.12 включительно. Ошибка проверки прав позволяет направить отправку формы в чужую пользовательскую запись и переписать её email. Затем атакующий может воспользоваться обычным восстановлением пароля WordPress.
Это другая ошибка того же расширения, не удаление файлов из предыдущей подборки. Для защиты недостаточно сменить пароль одного администратора, если публичный обработчик по-прежнему разрешает менять его почту.
HivePress: важен токен жертвы
HivePress Authentication до 1.1.4 включительно содержит CVE-2026-18056. Вход через Facebook принимает токен без проверки приложения, которому он выдан. Однако атакующему нужен действующий access_token самой жертвы. Это не вход в произвольный аккаунт только по знанию email.
Проверьте все три компонента и поставьте поддерживаемые исправленные версии. При невозможности обновления временно отключите уязвимый путь регистрации или входа. После подтверждённого захвата аккаунта потребуется разбор изменений сайта, а не только установка нового ZIP.
Удаление файлов через публичную форму Frontend Admin разобрано в материале про Nokri и ещё четыре расширения.
