Pie Register Premium: загрузка файлов любого типа без авторизации (CVE-2026-84999)
В плагине Pie Register Premium для WordPress найдена уязвимость CVE-2026-84999 (CVSS 9.8). Функция piereg_file_upload не проверяет результат валидации типа файла, а AJAX-обработчик не использует nonce и проверку прав.
Проверяется в Shield: нет
Кого касается
Затронуты все версии Pie Register Premium до 3.8.4.0 включительно. Неаутентифицированный атакующий может загрузить опасный файл (например, PHP-скрипт), что открывает путь к удалённому выполнению кода: сервер возвращает путь к загруженному файлу.
Как проверить у себя
В админке WordPress откройте раздел «Плагины» и проверьте, установлен ли Pie Register Premium и какой у него номер версии. Версия 3.8.4.0 или ниже попадает под уязвимость.
Как исправить
Исправленная версия пока не названа в источнике. Следите за сообщениями разработчика и обновите плагин, как только выйдет патч. До этого можно рассмотреть временное отключение плагина.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Информация об исправленной версии и о фактической эксплуатации пока не раскрыта. Источник: NVD (CVE-2026-84999).
