Уязвимость Broken Access Control в WordPress-плагине WP Rocket (CVE-2026-97075)
В плагине WP Rocket для WordPress обнаружена уязвимость класса Broken Access Control, связанная с отсутствием проверки авторизации. Проблема затрагивает версии ниже 3.23.5 и получила оценку CVSS 6.5 (MEDIUM). Владельцам сайтов на WordPress с установленным WP Rocket рекомендуется срочно обновить плагин.
Подробности
Уязвимость относится к классу Broken Access Control (нарушение контроля доступа) и описывается как Missing Authorization — отсутствие проверки авторизации. Согласно описанию, в плагине некорректно сконфигурированы уровни безопасности контроля доступа, что позволяет эксплуатировать эти ошибки. Уязвимость затрагивает продукт WP Rocket от WP Media. Под удар попадают все версии плагина ниже 3.23.5. В записи CVE диапазон уязвимых версий указан как «from n/a before 3.23.5», то есть исправление появилось именно в релизе 3.23.5. Класс Broken Access Control входит в список наиболее распространённых и опасных категорий уязвимостей веб-приложений (OWASP Top 10). Подобные flaws возникают, когда приложение не проверяет, имеет ли пользователь право выполнять то или иное действие. В случае плагинов WordPress это особенно чувствительно: недостаточная проверка авторизации может позволить пользователю с низкими привилегиями выполнять действия, доступные только администратору, — например, менять настройки плагина или влиять на работу сайта. Оценка CVSS 6.5 соответствует среднему уровню угрозы. Такие уязвимости обычно требуют определённых условий для эксплуатации (например, наличия учётной записи на сайте), но при этом способны нанести ощутимый ущерб — от изменения конфигурации до подготовки более серьёзных атак. Отдельно стоит отметить, что WP Rocket — популярный плагин кэширования и оптимизации производительности WordPress, установленный на сотнях тысяч сайтов по всему миру. Это делает своевременное закрытие уязвимости особенно важным.Что делать
Основная и наиболее надёжная рекомендация — обновить WP Rocket до версии 3.23.5 или более новой. Именно в этом релизе, согласно записи CVE, устранена уязвимость. Дополнительные меры: - Проверьте текущую версию плагина в административной панели WordPress (раздел «Плагины») и убедитесь, что она не ниже 3.23.5. - Если автоматическое обновление недоступно, обновите плагин вручную через официальный репозиторий WordPress или панель управления хостингом. - Ограничьте число пользователей с высокими привилегиями и регулярно пересматривайте роли учётных записей. - Включите ведение журналов действий пользователей, чтобы своевременно замечать подозрительную активность. - Следите за официальными уведомлениями разработчика WP Media о возможных дополнительных патчах.Итог
CVE-2026-97075 — уязвимость нарушения контроля доступа в плагине WP Rocket версий ниже 3.23.5. Несмотря на средний уровень критичности (CVSS 6.5), популярность плагина делает эту проблему значимой для широкого круга владельцев сайтов на WordPress. Единственное надёжное решение — обновление до версии 3.23.5 или новее. Рекомендуем не откладывать установку патча.Источник: CVE Project (cvelistV5)