Уязвимость Broken Access Control в WordPress-плагине Passster (CVE-2026-110896)
В WordPress-плагине Passster (WP Chill Passster) версий до 4.3.18 включительно обнаружена уязвимость Broken Access Control, связанная с отсутствием проверки авторизации. Проблема позволяет эксплуатацию некорректно настроенных уровней контроля доступа и затрагивает сайты, использующие этот плагин для защиты контента. Уязвимости присвоен средний уровень критичности — CVSS 5.3.
Подробности
Согласно описанию CVE, в Passster присутствует уязвимость Missing Authorization (отсутствие проверки авторизации), которая относится к категории «Exploiting Incorrectly Configured Access Control Security Levels» — эксплуатация некорректно настроенных уровней контроля доступа. Уязвимость затрагивает версии Passster от n/a до 4.3.18 включительно, то есть все релизы вплоть до указанной версии подвержены проблеме. Уязвимости присвоен базовый балл CVSS 5.3, что соответствует среднему уровню критичности. Такой рейтинг отражает то, что эксплуатация не требует особых привилегий или сложных условий, однако масштаб возможного ущерба ограничен рамками функциональности самого плагина. Основной риск заключается в том, что защищённый контент, который должен быть доступен только авторизованным или специально допущенным пользователям, может быть получен в обход предусмотренных ограничений. Проблема связана с тем, что механизм контроля доступа оказывается сконфигурирован некорректно либо проверка прав доступа выполняется не на всех этапах обработки запроса. Это классический сценарий Broken Access Control, который регулярно входит в топ наиболее распространённых категорий уязвимостей веб-приложений. В случае с Passster последствия касаются именно той функции, ради которой плагин и устанавливается — разграничения доступа к контенту. Стоит отметить, что для эксплуатации уязвимости обычно не требуются учётные данные администратора или иные привилегии: злоумышленнику достаточно взаимодействовать с сайтом способом, обходящим предполагаемые ограничения. Это повышает практическую значимость проблемы для публично доступных ресурсов, где плагин используется для монетизации или закрытия части материалов.Что делать
Основная рекомендация — обновить плагин Passster до версии, в которой уязвимость устранена. Поскольку CVE-2026-110896 затрагивает все версии вплоть до 4.3.18 включительно, необходимо установить более свежий релиз сразу после его появления у разработчика WP Chill. Перед обновлением следует сделать резервную копию сайта и базы данных. Если обновление на данный момент невозможно, стоит рассмотреть временные компенсационные меры: ограничить использование функционала защиты контента на критичных страницах, усилить мониторинг обращений к закрытым материалам и проверить журналы на предмет подозрительной активности. Также полезно провести ревизию настроек доступа в самом плагине — даже при наличии уязвимости корректная конфигурация снижает вероятность успешной эксплуатации. Дополнительно рекомендуется ограничить доступ к административной части сайта и следить за уведомлениями производителя о выходе патча. Итог: CVE-2026-110896 — уязвимость среднего уровня критичности в WordPress-плагине Passster, связанная с нарушением контроля доступа. Она не требует сложных условий для эксплуатации и напрямую подрывает основную функцию плагина — защиту контента. Наиболее надёжное решение — своевременное обновление до исправленной версии; до его установки целесообразно применять компенсирующие меры и усилить контроль за доступом к закрытым материалам сайта.Источник: CVE Project (cvelistV5)