Pie Register Premium: завантаження файлів будь-якого типу без авторизації (CVE-2026-84999)
У плагіні Pie Register Premium для WordPress знайдено вразливість CVE-2026-84999 (CVSS 9.8). Функція piereg_file_upload не перевіряє результат валідації типу файлу, а AJAX-обробник не використовує nonce та перевірку прав.
Перевіряється в Shield: ні
Кого стосується
Уражені всі версії Pie Register Premium до 3.8.4.0 включно. Неавтентифікований зловмисник може завантажити небезпечний файл (наприклад, PHP-скрипт), що відкриває шлях до віддаленого виконання коду: сервер повертає шлях до завантаженого файлу.
Як перевірити в себе
В адмінці WordPress відкрийте розділ «Плагіни» та перевірте, чи встановлено Pie Register Premium і яка в нього версія. Версія 3.8.4.0 або нижча підпадає під вразливість.
Як виправити
Виправлену версію в джерелі поки не названо. Стежте за повідомленнями розробника й оновіть плагін, щойно вийде патч. До того можна розглянути тимчасове вимкнення плагіна.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Інформація про виправлену версію та фактичну експлуатацію поки не розкрита. Джерело: NVD (CVE-2026-84999).
