Security For WooCommerce: вход под любым пользователем без авторизации (CVE-2026-123695)
В плагине Security For WooCommerce для WordPress не ограничен доступ к ряду REST API маршрутов. Неавторизованный посетитель может создать токены входа для любых пользователей, получить их и войти под ними, в том числе как администратор. Оценка CVSS в источнике: 9.8.
Проверяется в Shield: нет
Кого касается
Сайты на WordPress с плагином Security For WooCommerce версии 1.0.16 и ниже (включительно).
Как проверить у себя
В админке WordPress откройте раздел «Плагины» и найдите Security For WooCommerce. Если версия 1.0.16 или ниже, сайт затронут. Также проверьте список администраторов и недавние входы на незнакомую активность.
Как исправить
Исправленная версия в источнике не указана. Проверьте наличие обновления плагина. Пока его нет, разумно отключить плагин и сменить пароли администраторов, если были подозрительные входы.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Информация об исправленной версии и о фактической эксплуатации уязвимости пока не раскрыта. Источник: NVD.
