AskAny: завантаження PHP-файлів без авторизації (CVE-2026-121497)
У WordPress-плагіні AskAny знайдено вразливість CVE-2026-121497 (CVSS 9.8). Плагін не перевіряє розширення та вміст файлів, прикріплених до повідомлень чату, і довіряє типу файлу, який передає браузер.
Перевіряється в Shield: ні
Кого стосується
Сайти з плагіном AskAny версій до 2.2.0, у яких увімкнено вкладення від відвідувачів. Авторизація для атаки не потрібна: завантажити PHP-файл і виконати код може будь-який відвідувач.
Як перевірити в себе
В адмінці WordPress відкрийте розділ «Плагіни» і перегляньте версію AskAny. Потім перевірте в налаштуваннях плагіна, чи увімкнено вкладення від відвідувачів. Також варто пошукати несподівані PHP-файли в теці завантажень.
Як виправити
Виправлення є: оновіть AskAny до версії 2.2.0 або новішої. Якщо оновитися одразу не можна, вимкніть вкладення від відвідувачів у налаштуваннях плагіна.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Даних про використання вразливості в реальних атаках поки немає. Джерело: запис NVD для CVE-2026-121497.
