8 сентября 2026 года Wordfence опубликовал CVE-2026-3174 в Event Tickets до 5.27.4 включительно. Посторонний может заменить настройки Stripe и направить последующие платежи на чужой аккаунт. Исправление выпущено в 5.27.4.1; для рабочего сайта используйте актуальную поддерживаемую версию.
Подмена реквизитов не требует входа
Уязвимость находится в обработчике возврата из Stripe OAuth. В нём не хватает проверки прав. Подмена затрагивает токены, публичные ключи и идентификатор платёжного аккаунта.
Для магазина это означает не просто неверную надпись на странице заказа. Следующие платежи могут обрабатываться с чужими реквизитами. Поэтому после обновления нужно отдельно проверить, какой аккаунт Stripe действительно подключён.
Сверьте поступления у платёжного провайдера с заказами сайта. Статус успешной оплаты в WordPress сам по себе не доказывает, что деньги попали нужному получателю. Если обнаружена подмена, сохраните доступные журналы и разберите период, в котором она могла действовать.
Live Composer: опасен не любой PHP-объект сам по себе
Второй выпуск дня, CVE-2026-16502, относится к Live Composer до 2.1.18 включительно. Пользователь с ролью Contributor может передать данные для небезопасной десериализации. Исправление выпущено в 2.1.19.
В самом уязвимом компоненте известная подходящая POP-цепочка отсутствует. Без дополнительного плагина или темы с такой цепочкой у этой ошибки нет самостоятельного воздействия. При её наличии последствия зависят от доступных классов: от чтения данных до удаления файлов или выполнения кода.
Обновите оба компонента, если они установлены. Сравнивать срочность только по CVSS неудобно: у Event Tickets вход вообще не нужен, а у Live Composer есть дополнительные условия. Реальная конфигурация сайта важнее одного числа из карточки.
Другие риски интеграций разобраны в материале про WP Fusion Pro и ThriveCart.
