CVE-2026-11871: уязвимость раскрытия данных в плагине Team Showcase Supreme
В WordPress-плагине Team Showcase Supreme (Team Members) до версии 9.3 обнаружена уязвимость, позволяющая неаутентифицированному злоумышленнику получить контактные данные участников команды, включая email и телефоны, которые администратор не публиковал. Проблема затрагивает сайты с установленным уязвимым плагином и требует приоритетного обновления.
Подробности
Уязвимость затрагивает плагин Team Showcase Supreme (также упоминается как Team Members) в версиях ниже 9.3. Согласно описанию, плагин не выполняет проверку авторизации и видимости в неаутентифицированном AJAX-действии, которое возвращает полные записи об участниках команды по их идентификатору. В результате злоумышленник, не имея учётной записи на сайте, может перебирать идентификаторы и получать сведения о членах команды, которые администратор не публиковал публично. В раскрываемые данные входят адреса электронной почты и номера телефонов участников. Это создаёт риск утечки персональной информации, которая может быть использована для спама, фишинга, социальной инженерии или целевых атак на сотрудников организации. Поскольку для эксплуатации не требуется аутентификация, порог входа для атакующего минимален, а сам вектор не требует взаимодействия с пользователем. Тип уязвимости — неавторизованное раскрытие конфиденциальной информации (Unauthenticated Sensitive Data Disclosure), связанное с отсутствием контроля доступа (CWE-862/200-класс проблем). Значение CVSS в записи CVE не указано, однако отсутствие необходимости в аутентификации и возможность массового перебора записей повышают практическую значимость угрозы. Точные версии плагина, подверженные уязвимости, — все выпуски ниже 9.3.Что делать
Основная рекомендация — как можно скорее обновить плагин Team Showcase Supreme до версии 9.3 или более поздней, где проблема устранена. Обновление следует провести на всех сайтах, где используется данный плагин, включая те, где участники команды не отображаются публично. Если обновление невозможно в кратчайшие сроки, стоит рассмотреть временные митигации: ограничить доступ к AJAX-действиям плагина на уровне веб-сервера или WAF, а также проверить, действительно ли плагин необходим на сайте. В случае отсутствия потребности в его функциональности плагин лучше деактивировать и удалить. Дополнительно рекомендуется проанализировать журналы обращений к admin-ajax.php на предмет подозрительной активности и, при наличии признаков эксплуатации, уведомить затронутых сотрудников о возможной утечке их контактных данных и усилить меры против фишинга. Итог: CVE-2026-11871 — наглядный пример того, как отсутствие проверки прав в AJAX-обработчике приводит к утечке персональных данных. Для владельцев WordPress-сайтов критично своевременно обновлять плагины и минимизировать число установленных расширений, чтобы сокращать поверхность атаки.Источник: CVE Project (cvelistV5)