Уязвимость Broken Access Control в плагине ЮKassa для WooCommerce (CVE-2026-114699)
В плагине ЮKassa для WooCommerce (версии до 2.17.3 включительно) выявлена уязвимость отсутствия авторизации, относящаяся к классу Broken Access Control. Проблема затрагивает сайты на WordPress с установленным плагином приёма платежей от ЮKassa. Уровень опасности по CVSS — 5.3 (средний).
Подробности
Уязвимость затрагивает плагин yoomoney ЮKassa для WooCommerce во всех версиях от начальной до 2.17.3 включительно. Согласно описанию, речь идёт о Missing Authorization — отсутствии проверки прав при обращении к функциональности, которая должна быть доступна только авторизованным пользователям с соответствующими привилегиями. Как указано в записи, проблема позволяет эксплуатировать некорректно настроенные уровни контроля доступа. Уязвимости класса Broken Access Control опасны тем, что злоумышленник может выполнять действия или получать доступ к функциям, на которые у него нет прав. В контексте платёжного плагина это создаёт риски для конфиденциальности и целостности данных интернет-магазина. Оценка по шкале CVSS составляет 5.3 балла, что соответствует среднему уровню опасности.Что делать
Основная рекомендация — обновить плагин ЮKassa для WooCommerce до версии новее 2.17.3, как только производитель выпустит исправление. До установки патча целесообразно: - проверить настройки ролей и прав доступа в WordPress и WooCommerce, убедившись, что лишние привилегии не выданы непривилегированным пользователям; - ограничить доступ к административной части сайта и включить журналирование подозрительной активности; - провести аудит логов на предмет аномальных запросов к эндпоинтам плагина; - по возможности временно ограничить функциональность плагина, если она не критична для текущей работы магазина. Также стоит следить за официальными рекомендациями разработчика плагина и уведомлениями Wordfence/CVE на предмет выхода исправленной версии. Итог: CVE-2026-114699 — уязвимость среднего уровня в плагине ЮKassa для WooCommerce, связанная с недостаточной проверкой авторизации. Владельцам интернет-магазинов на WordPress следует оперативно обновить плагин и проверить конфигурацию прав доступа, чтобы снизить риски эксплуатации.Источник: CVE Project (cvelistV5)