7 сентября 2026 года Wordfence опубликовал CVE-2026-14444 в WP Fusion Pro до 3.47.13 включительно. Подписчик с ключом интеграции ThriveCart может создать администратора, если включён ThriveCart Auto Login. В журнале WP Fusion исправление указано в 3.47.14 от 30 июля. Для рабочего сайта выбирайте актуальную поддерживаемую версию.
Какие условия нужны для атаки
Уязвимый обработчик недостаточно проверяет роль, переданную при автоматическом входе покупателя. Вместо разрешённой роли запрос может потребовать административные права для новой учётной записи.
При этом нужен вход с ролью не ниже Subscriber, значение access_key и включённая опция ThriveCart Auto Login. Это не безусловный захват любой установки WP Fusion с улицы.
Ключ интеграции по документированному сценарию передаётся клиентам ThriveCart. Поэтому возможность его получения покупателем входит в модель угроз. Считать такой ключ эквивалентом административного пароля нельзя.
Что проверить после обновления
Сначала узнайте точную редакцию и версию пакета. Ошибка относится к WP Fusion Pro, а не автоматически к любому расширению со схожим именем. Платный пакет обновляйте через штатный канал разработчика.
Затем проверьте, нужен ли автоматический вход через ThriveCart вообще. Если функция используется, проверьте её на тестовом покупателе: какая роль появляется и не выдаются ли лишние права. Удобная авторизация не должна означать доверие любому значению из запроса.
Просмотрите недавно созданные административные учётные записи. При неизвестных пользователях потребуется разбор журналов и изменений сайта. Одно удаление подозрительной учётки не доказывает, что других последствий не было.
Главная мера, исправленный плагин. Отключение ненужной интеграции уменьшает поверхность атаки, а контроль пользователей помогает обнаружить последствия уже состоявшегося вмешательства.
Ещё один пример чрезмерного доверия внешнему входу есть в подборке про SEO Flow и RegistrationMagic.
