Уязвимость Broken Access Control в WordPress-плагине WP-Members (CVE-2026-61994)
В плагине WP-Members для WordPress обнаружена уязвимость класса Broken Access Control, связанная с отсутствием проверки авторизации. Проблема затрагивает версии вплоть до 3.5.7 включительно. Уязвимости присвоен средний уровень опасности — CVSS 5.4.
Подробности
Уязвимости присвоен идентификатор CVE-2026-61994. Согласно описанию, в плагине WP-Members присутствует уязвимость Missing Authorization (отсутствие проверки авторизации), которая позволяет эксплуатировать неправильно настроенные уровни контроля доступа. Фактически речь идёт о классе Broken Access Control — одной из наиболее распространённых категорий проблем в веб-приложениях, при которой пользователь может выполнить действие или получить доступ к данным, не имея на это соответствующих прав. Уязвимость затрагивает все версии плагина WP-Members начиная с неопределённой (n/a) и заканчивая 3.5.7 включительно. Это означает, что пользователям, установившим любую из версий вплоть до указанной, следует рассматривать свой сайт как потенциально уязвимый. Уровень опасности оценивается как средний — базовый балл CVSS составляет 5.4. Такая оценка предполагает, что эксплуатация уязвимости требует определённых условий и не приводит к немедленной полной компрометации системы, однако может позволить злоумышленнику обойти ограничения доступа и выполнить несанкционированные действия в рамках сайта. Стоит отметить, что уязвимости класса Broken Access Control регулярно попадают в список наиболее критичных рисков по версии OWASP. В контексте WordPress-плагинов они особенно опасны, поскольку затрагивают логику разграничения прав между ролями пользователей, а также между авторизованными и неавторизованными посетителями.Что делать
Основная рекомендация — обновить плагин WP-Members до версии, в которой уязвимость устранена. Если на момент публикации исправленная версия недоступна, следует рассмотреть временные компенсирующие меры: - Проверить настройки ролей и прав доступа в плагине, убедившись, что чувствительные функции ограничены только доверенными пользователями. - Ограничить доступ к административным и функциональным эндпоинтам плагина средствами веб-сервера или WAF. - Усилить мониторинг журналов активности на предмет подозрительных действий, связанных с регистрацией, изменением профилей и доступом к защищённому контенту. - По возможности временно отключить плагин, если он не является критически важным для работы сайта, до выхода патча. Также рекомендуется регулярно отслеживать официальные каналы обновлений WP-Members и базы уязвимостей, чтобы своевременно получать информацию о выходе исправлений. Итог: CVE-2026-61994 — уязвимость среднего уровня, связанная с отсутствием проверки авторизации в плагине WP-Members вплоть до версии 3.5.7. Хотя она не является критической, игнорировать её не стоит: слабый контроль доступа может стать точкой входа для более серьёзных атак. Администраторам сайтов на WordPress рекомендуется как можно скорее обновить плагин или применить компенсирующие меры защиты.Источник: CVE Project (cvelistV5)