Streamit: удалённое выполнение кода без авторизации (CVE-2026-13423)
В теме Streamit для WordPress найдена уязвимость CVE-2026-13423 (CVSS 9.8). Один из AJAX-маршрутов не проверяет авторизацию и nonce и вызывает PHP-функцию с аргументами, которые задаёт атакующий.
Проверяется в Shield: нет
Кого касается
Затронуты сайты с темой Streamit версии до 4.5.2. Атаковать может неаутентифицированный пользователь, например создать учётную запись администратора и получить выполнение кода (RCE).
Как проверить у себя
Откройте в админке WordPress раздел «Внешний вид» → «Темы» и посмотрите версию Streamit. Если она ниже 4.5.2, сайт уязвим.
Как исправить
Исправление есть: обновите тему Streamit до версии 4.5.2 или новее. После обновления проверьте список администраторов на незнакомые учётные записи.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данных об использовании уязвимости в реальных атаках пока нет, это не раскрыто. Источник: NVD.
