Уязвимость Broken Access Control в WordPress-плагине User Registration (CVE-2026-109699)
В плагине User Registration для WordPress (версии до 5.2.8 включительно) обнаружена уязвимость Broken Access Control, связанная с отсутствием проверки авторизации. Проблема затрагивает сайты, использующие плагин ThemeGrill User Registration, и позволяет эксплуатировать некорректно настроенные уровни доступа. Уязвимости присвоен средний уровень критичности CVSS 5.4.
Подробности
Уязвимости присвоен идентификатор CVE-2026-109699. Согласно описанию, в плагине присутствует Missing Authorization — отсутствие проверки авторизации, что классифицируется как Broken Access Control (нарушение контроля доступа). Проблема возникает из-за некорректно сконфигурированных уровней безопасности доступа, что позволяет злоумышленнику выполнять действия, на которые у него не должно быть прав. Уязвимость затрагивает все версии плагина User Registration вплоть до 5.2.8 включительно. Точная версия, в которой проблема была устранена, в записи CVE не указана, однако стандартной практикой является обновление до последней доступной версии. Уровень критичности по шкале CVSS составляет 5.4, что соответствует среднему уровню опасности. Это означает, что эксплуатация уязвимости требует определённых условий, но при этом может привести к нежелательным последствиям для владельцев сайтов: несанкционированным изменениям пользовательских данных, обходу ограничений регистрации или изменению настроек, доступных только администраторам.Что делать
Владельцам сайтов на WordPress, использующим плагин User Registration, рекомендуется в первую очередь проверить установленную версию. Если она равна 5.2.8 или ниже, необходимо как можно скорее обновить плагин до актуальной версии через панель администратора WordPress или вручную. Если обновление по каким-либо причинам невозможно, следует рассмотреть временные меры защиты: — ограничить доступ к административной части сайта с помощью дополнительных плагинов безопасности или правил на уровне веб-сервера; — включить двухфакторную аутентификацию для всех учётных записей с повышенными привилегиями; — настроить WAF (Web Application Firewall) для фильтрации подозрительных запросов к эндпоинтам плагина; — регулярно проверять логи на предмет несанкционированных действий. Также стоит убедиться, что роли пользователей в WordPress настроены корректно и не предоставляют избыточных прав. Итог: CVE-2026-109699 — это типичная уязвимость контроля доступа в популярном WordPress-плагине. Несмотря на средний уровень критичности, она требует оперативной реакции, поскольку плагин User Registration установлен на большом количестве сайтов. Своевременное обновление остаётся самым надёжным способом защиты.Источник: CVE Project (cvelistV5)