CVE-2026-102389: уязвимость инъекции контента в WordPress-плагине Broken Link Checker
В плагине Broken Link Checker для WordPress (версии до 2.4.14.1 включительно) обнаружена уязвимость инъекции контента. Она позволяет злоумышленнику внедрять код через некорректную обработку генерации кода. Уязвимость получила оценку CVSS 6.5 (MEDIUM) и затрагивает всех, кто использует уязвимые версии плагина.
Подробности
Уязвимость CVE-2026-102389 классифицируется как Improper Control of Generation of Code («Code Injection») и позволяет внедрять произвольный код через механизмы генерации контента плагина. Согласно описанию, проблема затрагивает Broken Link Checker во всех версиях от n/a до 2.4.14.1 включительно — то есть все релизы вплоть до указанной версии остаются уязвимыми, если не выпущено исправление. Оценка CVSS составляет 6.5 балла, что соответствует среднему уровню опасности. Такой вектор позволяет атакующему с определёнными привилегиями или через цепочку эксплуатации внедрять вредоносный код, что может привести к компрометации сайта, подмене контента или перенаправлению пользователей. Точный вектор атаки (например, сетевой или локальный, требуемые привилегии) в записи CVE не раскрыт, однако сам класс уязвимости «Code Injection» предполагает возможность выполнения внедрённого кода в контексте CMS.Что делать
Администраторам сайтов на WordPress рекомендуется в первую очередь проверить, установлен ли плагин Broken Link Checker, и если да — уточнить его текущую версию. Если используется версия 2.4.14.1 или более ранняя, следует как можно скорее обновить плагин до актуальной версии, в которой устранена уязвимость. На момент публикации записи CVE официальная исправленная версия в описании не указана, поэтому стоит следить за обновлениями от WPMU DEV и уведомлениями в панели администратора WordPress. Если обновление недоступно, в качестве временной меры можно рассмотреть деактивацию плагина до выпуска патча — особенно если функциональность проверки битых ссылок не является критичной для работы сайта. Дополнительно рекомендуется ограничить доступ к административной панели, использовать принцип наименьших привилегий для учётных записей и настроить мониторинг изменений в файлах и контенте для своевременного выявления следов эксплуатации.Итог
CVE-2026-102389 — это уязвимость среднего уровня опасности в плагине Broken Link Checker для WordPress, связанная с инъекцией кода. Всем, кто использует версии до 2.4.14.1 включительно, необходимо принять меры: обновить плагин, а при отсутствии патча — временно отключить его. Регулярное обновление компонентов WordPress остаётся базовой мерой защиты от подобных угроз.Источник: CVE Project (cvelistV5)