Уязвимость в Checkout Custom Fields Builder for WooCommerce позволяет подписчикам устанавливать произвольные плагины (CVE-2026-19802)
В плагине Checkout Custom Fields Builder for WooCommerce найдена уязвимость недостаточной проверки прав доступа. Она позволяет аутентифицированным пользователям с уровнем подписчика устанавливать и активировать произвольные плагины, что может привести к удаленному выполнению кода. Проблема затрагивает все версии плагина до 1.1.5 включительно.
Подробности
Проблема затрагивает плагин Checkout Custom Fields Builder for WooCommerce от разработчика stylemix. Все версии до 1.1.5 включительно содержат ошибку авторизации. Причина кроется в отсутствии надлежащей проверки прав пользователя при выполнении определенных действий через параметр 'plugin'. Уязвимость позволяет аутентифицированным злоумышленникам, имеющим доступ уровня подписчика (subscriber) и выше, устанавливать и активировать произвольные плагины, размещенные на сторонних серверах. Важной деталью является то, что необходимый для атаки nonce (одноразовый токен) выводится на всех административных страницах, доступных подписчикам, когда WooCommerce неактивен. Это означает, что любой пользователь с базовым уровнем доступа может получить токен и использовать его для эксплуатации уязвимости без каких-либо дополнительных привилегий. Установка произвольного плагина, контролируемого атакующим, фактически эквивалентна получению полного контроля над сайтом. Злонамеренный код в таком плагине может обеспечить удаленное выполнение кода на сервере, что позволит похитить данные, изменить содержимое сайта или использовать его в качестве базы для дальнейших атак.Что делать
Всем администраторам сайтов на WordPress, использующим Checkout Custom Fields Builder for WooCommerce, настоятельно рекомендуется предпринять следующие шаги: 1. Немедленно обновить плагин до последней доступной версии, если обновление уже выпущено разработчиком. Проверьте наличие обновлений в панели администратора WordPress или на официальной странице плагина. 2. Если обновление недоступно, временно деактивировать и удалить плагин до устранения уязвимости. 3. В качестве митигации рекомендуется ограничить доступ к административным панелям для пользователей с ролью «Подписчик» или изменить их права до тех пор, пока проблема не будет решена. 4. Провести аудит установленных плагинов и активных пользователей на предмет подозрительной активности. Итог: CVE-2026-19802 демонстрирует, как, казалось бы, незначительная ошибка авторизации может привести к полной компрометации веб-сайта. Даже средний показатель CVSS не должен вводить в заблуждение: в связке с другими факторами, такими как получение nonce, цепочка атак становится тривиальной для злоумышленников. Своевременное обновление плагинов и контроль над правами пользователей остаются ключевыми элементами защиты WordPress-сайтов.Источник: CVE Project (cvelistV5)