9 сентября 2026 года Wordfence опубликовал CVE-2026-76801 в FireBox до 3.1.10 включительно. Пользователь с ролью Author и доступом к кампаниям может выполнить код на сервере. Исправление выпущено в 3.1.11. На рабочем сайте установите актуальный поддерживаемый выпуск.
Почему фильтра команд недостаточно
FireBox используется для всплывающих окон и кампаний. Ошибка находится в PHP-условиях: значения правил сохраняются через REST, а проверка запрещённых функций опирается на недостаточный фильтр.
Злоумышленнику не обязательно загружать отдельный PHP-файл. Доступ к сохранению опасного условия уже создаёт путь к выполнению кода. Возможные последствия включают изменение пользователей, настроек и файлов сайта.
Это не атака анонимного посетителя. Нужны учётная запись с подходящими правами и доступ к функциям кампаний. Но Author является обычной редакторской ролью, которая сама по себе не должна давать управление сервером.
Старые права могут пережить обновление
В официальном описании отдельно отмечен переход со сборок до 3.1.10. Мигратор сохраняет авторской роли возможности редактирования и публикации FireBox. Поэтому после обновления права могут отличаться от ожиданий по чистой новой установке.
Проверьте не только пользователей с ролью Administrator, но и то, кому разрешено редактировать кампании. Сокращение ненужных прав полезно, однако оно не заменяет исправление уязвимого обработчика.
Что проверить после патча
Просмотрите недавно изменённые кампании, неизвестные административные аккаунты и изменения файлов. Если обнаружено вмешательство, ограничьтесь не удалением одного подозрительного правила: уже выполненный код мог оставить другие изменения.
Обновление FireBox закрывает описанный путь. Проверка ролей и истории кампаний помогает понять, был ли он доступен на конкретном сайте и нет ли признаков его использования.
Ещё один случай, где минимальная роль важнее общего слова «авторизованный», разобран в подборке про FS Poster и другие расширения.
