Уязвимость Broken Access Control в WordPress-плагине Starter Templates (CVE-2026-39721)
В плагине Starter Templates от Brainstorm Force (версии до 4.7.7 включительно) обнаружена уязвимость класса Broken Access Control, связанная с отсутствием проверки авторизации. Проблема затрагивает сайты на WordPress, использующие этот плагин, и оценена как средняя (CVSS 5.4).
Подробности
Уязвимости присвоен идентификатор CVE-2026-39721. Согласно описанию, речь идёт о missing authorization — отсутствии проверки прав доступа при выполнении отдельных операций. В терминологии CWE это классифицируется как «Exploiting Incorrectly Configured Access Control Security Levels» (эксплуатация неверно сконфигурированных уровней контроля доступа), то есть разновидность Broken Access Control. Уязвимый продукт — Starter Templates (пакет astra-sites) от Brainstorm Force. Под действие проблемы попадают все версии плагина вплоть до 4.7.7 включительно. Таким образом, уязвимыми остаются сайты, на которых установлена любая из версий этого диапазона и которые ещё не получили обновление. Уровень опасности по шкале CVSS v3 составляет 5.4, что соответствует средней степени критичности. Такой балл обычно означает, что эксплуатация возможна удалённо и не требует высоких привилегий или сложной подготовки, однако масштаб последствий ограничен — например, изменения затрагивают лишь часть настроек или данных, а не приводят к полному захвату сайта. Тем не менее недооценивать проблему не стоит: уязвимости класса Broken Access Control нередко становятся первым шагом в цепочке атак, позволяя злоумышленнику получить доступ к функциям, которые должны быть доступны только авторизованным пользователям с соответствующими правами. Отдельно стоит отметить, что подобные уязвимости в плагинах WordPress представляют особый риск из-за массовости их использования. Плагин Starter Templates установлен на большом числе сайтов, а значит, даже средний уровень критичности может привести к широкому распространению атак при появлении публичных эксплойтов.Что делать
Основная и наиболее надёжная рекомендация — обновить плагин Starter Templates до версии, выпущенной после 4.7.7, как только производитель опубликует исправление. Поскольку запись CVE указывает на уязвимость вплоть до 4.7.7 включительно, именно следующая версия должна содержать патч. Дополнительные меры: - Проверьте на своих WordPress-сайтах наличие плагина Starter Templates и его текущую версию. Если обновление ещё не выпущено, рассмотрите возможность временного отключения плагина, если его функциональность не критична для работы ресурса. - Ограничьте доступ к административной панели WordPress по IP-адресам или с помощью дополнительных механизмов аутентификации — это снизит вероятность эксплуатации уязвимости извне. - Включите веб-application firewall (WAF) с актуальными правилами: многие решения быстро добавляют сигнатуры под свежие CVE в плагинах WordPress. - Регулярно отслеживайте бюллетени безопасности производителя Brainstorm Force и базы уязвимостей для получения информации о выходе патча. - Проведите аудит прав пользователей на сайте: убедитесь, что учётные записи с минимальными правами не имеют доступа к административным функциям плагина. Итог: CVE-2026-39721 — уязвимость средней критичности в широко используемом плагине Starter Templates. Она не приводит к немедленному компрометированию сайта, но создаёт благоприятные условия для атак на неправильно настроенные WordPress-ресурсы. Ключевая мера защиты — своевременное обновление плагина и базовые практики гигиены безопасности: минимизация прав, контроль доступа к админке и применение WAF.Источник: CVE Project (cvelistV5)