Broken Link Checker: удалённое выполнение кода без авторизации (CVE-2026-18937)
В плагине Broken Link Checker для WordPress найдена уязвимость CVE-2026-18937 (CVSS 9). Плагин принимает любые query-переменные из пользовательского ввода, поэтому неавторизованный пользователь может перезаписывать глобальные переменные PHP.
Проверяется в Shield: нет
Кого касается
Broken Link Checker версий до 2.4.12 на сайтах с простыми (plain) permalinks. Выполнение произвольного кода на сервере возможно, когда активна классическая (не блочная) тема.
Как проверить у себя
Откройте раздел «Плагины» в админке WordPress и проверьте версию Broken Link Checker. Затем в «Настройки - Постоянные ссылки» посмотрите, выбран ли простой формат, и проверьте, что используется классическая тема.
Как исправить
Исправление есть: обновите плагин до версии 2.4.12 или новее.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данные об использовании уязвимости в реальных атаках пока не раскрыты. Источник: запись NVD по CVE-2026-18937.
