Если на сайте стоит плагин форм WP Libre Form версии 1.5.0.1, посторонний без пароля может отправить через форму файл PHP и выполнить его на сервере. Это CVE-2026-118423, WPScan ставит оценку 10.0. Исправления нет, плагин нужно выключить.
Сначала проверьте его. Если на сайте его нет, следом разбор Security For WooCommerce от 5 ноября и Wurdey от 6 ноября: исправления нет и у них. Если ни wp-libre-form, ни ultimate-security-for-woocommerce, ни wurdey в списке плагинов нет, эти дыры сайта не касаются.
- WP Libre Form, slug
wp-libre-form, версия 1.5.0.1. Через форму на сервер попадает файл PHP и выполняется. Патча нет, в каталоге плагин закрыт. WPScan. - Security For WooCommerce, slug
ultimate-security-for-woocommerce, версии с 1.0.10 по 1.0.16. Название про защиту магазина, а посетитель без пароля создаёт учётку и сам выбирает роль, вплоть до администратора. Патча нет. В каталоге закрыт с 13 октября 2026. WPScan. - Wurdey, slug
wurdey, версии до 1.0.0 включительно. Зная только имя администратора, можно войти под ним: перед входом плагин не проверяет подпись запроса. Патча нет. В каталоге закрыт с 15 октября 2026. WPScan.
WP Libre Form
Форма принимает файл и не проверяет его тип. Файл оказывается там, откуда его открывает сайт, и если это PHP, сервер его выполняет. Пароль при этом не спрашивают, жертве ничего нажимать не нужно. Пока плагин включён, его форма остаётся способом запустить чужой код на сервере.
Версии, которая это закрывает, нет. В каталоге wordpress.org страница плагина закрыта с 8 сентября 2026, скачать его нельзя, так что обновление из каталога дыру не уберёт. Если wp-libre-form есть в списке, выключайте сегодня, не в понедельник.
Перед выключением на проде сделайте бэкап базы и файлов. Команда ниже только ищет три slug. Обновления, которое закрыло бы дыру, в каталоге нет.
wp plugin list --fields=name,status,version | grep -Ei 'wp-libre-form|ultimate-security-for-woocommerce|wurdey'
Найденный slug выключите командой wp plugin deactivate и именем из вывода. Удалять папку плагина не нужно: достаточно, чтобы он не был включён.
