9 сентября 2026 года Wordfence опубликовал CVE-2026-76009 в Next-Cart до 3.9.8 включительно. Если после активации ещё не создан токен миграции, посторонний может получить доступ к операциям с базой и файлами. Установите актуальный исправленный выпуск.
Почему важен способ активации
В публичном маршруте миграции используется запасное постоянное значение токена. Оно становится доступным, когда настройка nextcart_token ещё не записана. Такая ситуация возможна после активации через WP-CLI, сеть сайтов или программный вызов без последующего посещения админки.
Последствия серьёзные: произвольные SQL-запросы, создание администратора и удаление файлов. Но условие отсутствующего токена нельзя опускать и объявлять любую установку одинаково доступной для атаки.
YITH Waitlist: подписчик получает лишние права
YITH WooCommerce Waitlist Premium до 3.35.0 включительно содержит CVE-2026-14359. Обработчик списка ожидания недостаточно проверяет права и параметры создания пользователя. Подписчик может создать новую административную учётную запись.
У платного пакета проверьте штатный канал обновления разработчика. После исправления просмотрите новых администраторов. Смена пароля известной учётной записи не удаляет посторонние аккаунты.
SQL и публичные данные
ELEX WooCommerce Request a Quote до 2.4.1 затронут CVE-2026-14962, Quentn WP с 1.2.13 до 1.2.15 содержит CVE-2026-84068. В обоих случаях описаны SQL-инъекции без входа. Исправления начинаются с 2.4.1 и 1.2.15 соответственно.
Loops & Logic до 4.3.0 содержит CVE-2026-16960. Публичный запрос данных шаблона не ограничивается тем, что разрешено посетителю, и раскрывает пользовательские записи и настройки сайта. Исправление начинается с 4.3.0.
Обновите компоненты и удалите ненужные средства миграции с рабочего сайта. При раскрытии секретов обновление кода нужно дополнить заменой затронутых значений. Для подозрительных изменений базы и файлов потребуется отдельный разбор.
Похожая ошибка выдачи роли разобрана в материале про WP Fusion Pro.
