Уязвимость Broken Access Control в WordPress-плагине Advanced Post Manager (CVE-2026-111396)
В плагине Advanced Post Manager для WordPress обнаружена уязвимость класса Broken Access Control (CVE-2026-111396), связанная с отсутствием проверки авторизации. Проблема затрагивает версии до 4.5.6 включительно и получила оценку CVSS 7.1 (HIGH). Уязвимость актуальна для сайтов, использующих этот плагин от Liquid Web / StellarWP.
Подробности
Уязвимость затрагивает плагин Advanced Post Manager от Liquid Web / StellarWP. Под уязвимость подпадают все версии продукта вплоть до 4.5.6 включительно. Согласно описанию CVE, речь идёт об отсутствии проверки авторизации (Missing Authorization). Это позволяет эксплуатировать неправильно сконфигурированные уровни контроля доступа. Иными словами, пользователь с недостаточными правами может выполнить действия, которые должны быть доступны только привилегированным ролям. Уязвимости класса Broken Access Control опасны тем, что не требуют сложной эксплуатации: атакующему достаточно иметь учётную запись с низкими правами или воспользоваться некорректно настроенными проверками. В случае с Advanced Post Manager это может привести к несанкционированному изменению или управлению публикациями. Уровень критичности по методологии CVSS составляет 7.1, что соответствует высокой степени опасности (HIGH).Что делать
Основная рекомендация — как можно скорее обновить плагин Advanced Post Manager до версии, в которой устранена уязвимость. Если разработчик уже выпустил патч, установите его незамедлительно. До момента обновления можно применить следующие меры предосторожности: - ограничить доступ к административной части сайта, если функциональность плагина не используется постоянно; - проверить и скорректировать роли и права пользователей, удалив учётные записи с избыточными привилегиями; - включить ведение журналов и мониторинг подозрительной активности в панели администратора WordPress; - при отсутствии необходимости в плагине рассмотреть возможность его отключения и удаления. Также рекомендуется регулярно проверять сайты на наличие обновлений безопасности компонентов WordPress, поскольку уязвимости в плагинах остаются одной из самых частых причин компрометации CMS. Итог: CVE-2026-111396 — серьёзная уязвимость контроля доступа в Advanced Post Manager, угрожающая сайтам на WordPress. Владельцам ресурсов, использующих плагин версии 4.5.6 и ниже, следует немедленно обновить компонент и пересмотреть настройки прав доступа.Источник: CVE Project (cvelistV5)