Broken Link Checker: віддалене виконання коду без авторизації (CVE-2026-18937)
У плагіні Broken Link Checker для WordPress знайдено вразливість CVE-2026-18937 (CVSS 9). Плагін приймає будь-які query-змінні з користувацького вводу, тому неавторизований користувач може перезаписувати глобальні змінні PHP.
Перевіряється в Shield: ні
Кого стосується
Broken Link Checker версій до 2.4.12 на сайтах із простими (plain) permalinks. Виконання довільного коду на сервері можливе, коли активна класична (не блокова) тема.
Як перевірити в себе
Відкрийте розділ «Плагіни» в адмінці WordPress і перевірте версію Broken Link Checker. Потім у «Налаштування - Постійні посилання» подивіться, чи обрано простий формат, і перевірте, що використовується класична тема.
Як виправити
Виправлення є: оновіть плагін до версії 2.4.12 або новішої.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Дані про використання вразливості в реальних атаках поки не розкриті. Джерело: запис NVD за CVE-2026-18937.
