Социальный вход в WPCOM Member на версиях по 1.7.27 пускает гостя в чужой аккаунт без пароля. Нужны включённый соцпровайдер и известный openid или unionid. Сессия ставится этому пользователю, в том числе администратору. Wordfence закрывает дыру в 1.8.0, в каталоге сейчас 1.8.0.1.
10 октября рядом rtMedia, slug buddypress-media: на версиях по 4.7.13 NVD описывает path traversal, по Patchstack гость удаляет файл, патч уже в 4.7.14. Тема Buzz Stone по 1.0.2, PHP object injection без логина. Официального патча нет, тему с прода уберите.
- WPCOM Member, slug
wpcom-member. Чужой аккаунт без логина при включённом соцпровайдере. Версии по 1.7.27, патч 1.8.0, в каталоге 1.8.0.1. CVE-2026-104803. - rtMedia for WordPress, BuddyPress and bbPress, slug
buddypress-media. Удаление файла без логина, версии по 4.7.13, патч 4.7.14. В каталоге около 7 тысяч установок. CVE-2026-105892. - Buzz Stone, тема slug
buzzstone. PHP object injection без логина, версии по 1.0.2. Патча нет. В каталоге wordpress.org темы нет, сборка с ThemeForest. CVE-2026-81797.
WPCOM Member, slug wpcom-member
Дыра в обработчике социального входа: параметры uuid и code, без nonce и без проверки OAuth state. Запись в сессии не изолирована по посетителю, известный openid сопоставляется с уже существующим пользователем, и ему ставится сессия. Соцпровайдер должен быть включён, иначе обработчик не работает. Wordfence ставит 9.8.
В changelog 1.8.0 от 7 октября есть пункт про безопасность социального входа. Обновление из каталога ставит 1.8.0.1, это новее названного патча. Установок около тысячи. Если slug в списке и соцвход включён, обновляйте сегодня, не в понедельник.
Если wpcom-member и buddypress-media в списке плагинов нет, а активная тема не buzzstone, эти дыры сайта не касаются.
Перед обновлением на проде снимите бэкап базы и файлов. Из каталога wordpress.org обновляются только эти два плагина. Тему buzzstone оттуда не поставить.
wp plugin list --fields=name,status,version | grep -Ei 'wpcom-member|buddypress-media' wp theme list --fields=name,status,version | grep -Ei buzzstone wp plugin update wpcom-member buddypress-media
