Уязвимость в Pods позволяет получить права администратора WordPress

Уязвимость позволяет повысить привилегии в WordPress

10 августа 2026 года исследователи Wordfence обнаружили уязвимость в плагине Pods. Плагин насчитывает более 100 000 активных установок. Уязвимость позволяет неаутентифицированным злоумышленникам повысить свои привилегии до уровня администратора. Это дает им возможность выполнять действия администратора, включая смену пароля любого пользователя, что приводит к полному захвату сайта. Исследователь Нхиен Фам получил за обнаружение $3,900.00 по программе Bug Bounty от Wordfence.

Плагин Pods управляет контентом и полями WordPress

Pods — это плагин для WordPress, который позволяет создавать и управлять пользовательскими типами контента, полями и таксономиями. Он регистрирует публичный AJAX-метод pods_admin для обработки запросов к внутренним API. Функции безопасности плагина включают проверку списка разрешенных методов, проверку авторизации пользователя, валидацию nonce и проверку прав доступа. Эти проверки должны прерывать запрос при сбое, вызывая функцию pods_error().

Уязвимость CVE-2026-19598 затрагивает все версии до 3.3.9.1

Уязвимость связана с тем, что функция pods_error() не всегда прерывает выполнение запроса. В режиме обработки JSON-запросов, при наличии параметра meta-box-loader=1, функция записывает ошибку в лог PHP и возвращает false вместо завершения. Это делает неэффективными все проверки безопасности. Уязвимость получила идентификатор CVE-2026-19598 и рейтинг CVSS 9.8 (Критический). Исправленные версии включают 2.8.23.4, 2.9.19.4, 3.0.10.4, 3.1.4.2, 3.2.8.3 и 3.3.9.1.

Обновиться до версии 3.3.9.1 или выше

Wordfence выпустила правило для межсетевого экрана 12 августа 2026 года для защиты пользователей Wordfence Premium, Care и Response. Пользователи бесплатной версии получат защиту 11 сентября 2026 года. Разработчики Pods выпустили исправленную версию 3.3.9.1 14 августа 2026 года. Разработчики WordPress.org работают над принудительным обновлением плагина для всех пользователей. Рекомендуется проверить, обновлен ли плагин до последней версии.

Коротко в карточках

Источник: Wordfence