AskAny: загрузка PHP-файлов без авторизации (CVE-2026-121497)
В WordPress-плагине AskAny найдена уязвимость CVE-2026-121497 (CVSS 9.8). Плагин не проверяет расширение и содержимое файлов, прикреплённых к сообщениям чата, и доверяет типу файла, который передаёт браузер.
Проверяется в Shield: нет
Кого касается
Сайты с плагином AskAny версий до 2.2.0, у которых включены вложения от посетителей. Авторизация для атаки не нужна: загрузить PHP-файл и выполнить код может любой посетитель.
Как проверить у себя
В админке WordPress откройте раздел «Плагины» и посмотрите версию AskAny. Затем проверьте в настройках плагина, включены ли вложения от посетителей. Также стоит поискать неожиданные PHP-файлы в папке загрузок.
Как исправить
Исправление есть: обновите AskAny до версии 2.2.0 или новее. Если обновиться сразу нельзя, отключите вложения от посетителей в настройках плагина.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данных об использовании уязвимости в реальных атаках пока нет. Источник: запись NVD для CVE-2026-121497.
