Basel Post Types: обход аутентификации (CVE-2026-89324)
В плагине Basel Post Types для WordPress из-за опечатки в вызове defined() для SECURE_AUTH_SALT всегда используется жёстко прописанная соль, видимая в исходниках темы. Неавторизованный атакующий может подделать ?opauth callback и войти под любым пользователем, включая администратора. CVSS 9.8.
Проверяется в Shield: нет
Кого касается
Все версии Basel Post Types до 1.18 включительно. Условия: активен WooCommerce и включён хотя бы один провайдер соцвхода Basel.
Как проверить у себя
В админке WordPress откройте раздел «Плагины» и проверьте, установлен ли Basel Post Types и какая у него версия. Затем проверьте, активен ли WooCommerce и включён ли соцвход Basel.
Как исправить
Исправленная версия пока не указана. Как временную меру рассмотрите отключение провайдеров соцвхода Basel или деактивацию плагина, и следите за обновлениями от разработчика.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Информация об исправленной версии и о фактической эксплуатации уязвимости пока не раскрыта. Источник: NVD.
