Streamit: віддалене виконання коду без авторизації (CVE-2026-13423)
У темі Streamit для WordPress виявлено вразливість CVE-2026-13423 (CVSS 9.8). Один з AJAX-маршрутів не перевіряє авторизацію та nonce і викликає PHP-функцію з аргументами, які задає атакувальник.
Перевіряється в Shield: ні
Кого стосується
Уразливі сайти з темою Streamit версії до 4.5.2. Атакувати може неавтентифікований користувач, наприклад створити обліковий запис адміністратора та отримати виконання коду (RCE).
Як перевірити в себе
Відкрийте в адмінці WordPress розділ «Вигляд» → «Теми» і перегляньте версію Streamit. Якщо вона нижча за 4.5.2, сайт уразливий.
Як виправити
Виправлення є: оновіть тему Streamit до версії 4.5.2 або новішої. Після оновлення перевірте список адміністраторів на незнайомі облікові записи.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Даних про використання вразливості в реальних атаках поки немає, це не розкрито. Джерело: NVD.
