Критическая уязвимость CVE-2026-18143 в Request a Quote for WooCommerce: загрузка произвольных файлов без аутентификации
В плагине Request a Quote for WooCommerce для WordPress обнаружена критическая уязвимость CVE-2026-18143 (CVSS 9.8), позволяющая неаутентифицированному злоумышленнику загружать произвольные файлы, включая исполняемый PHP-код. Уязвимы все версии до 2.9.2 включительно. Проблема затрагивает сайты, где включено публичное правило запроса котировок с многостраничным всплывающим потоком.
Подробности
Уязвимость затрагивает плагин Addify Request a Quote for WooCommerce во всех версиях до 2.9.2 включительно. Причина кроется в функции `afrfq_submit_quote_via_popup()`, обрабатывающей загрузку файлов через AJAX-обработчик всплывающего окна запроса котировок. В этом обработчике отсутствует проверка расширения файла и его MIME-типа: имя файла, предоставленное атакующим, напрямую используется как путь назначения для функции `move_uploaded_file()`. Это позволяет неаутентифицированному злоумышленнику загружать в общедоступную временную директорию RFQ-загрузок исполняемые файлы, например PHP-скрипты. Для эксплуатации достаточно, чтобы на сайте было включено публичное правило запроса котировок с многостраничным всплывающим потоком. Уязвимость оценена в 9.8 балла по шкале CVSS v3 — максимально критичный уровень, поскольку не требует аутентификации, прост в эксплуатации и приводит к выполнению произвольного кода на сервере.Что делать
В первую очередь необходимо обновить плагин Request a Quote for WooCommerce до версии выше 2.9.2 сразу после выхода исправления. Если обновление пока недоступно, рекомендуется временно отключить плагин либо, как минимум, деактивировать публичные правила запроса котировок и многостраничный всплывающий поток, чтобы закрыть вектор атаки. Дополнительно следует ограничить выполнение PHP-файлов в директории временных RFQ-загрузок средствами веб-сервера, а также проверить логи на предмет подозрительных POST-запросов к AJAX-обработчику загрузки всплывающего окна. В случае обнаружения следов эксплуатации нужно провести аудит файловой системы на наличие веб-шеллов и сменить все учётные данные. Итог: CVE-2026-18143 — серьёзная угроза для сайтов на WordPress с установленным плагином Addify Request a Quote for WooCommerce. Учитывая критический уровень CVSS и отсутствие необходимости в аутентификации, владельцам сайтов следует незамедлительно применить обновление или временные митигации.Источник: CVE Project (cvelistV5)