CVE-2026-1984: отсутствие проверки прав в Ibtana – Ecommerce Product Addons
В WordPress-плагине Ibtana – Ecommerce Product Addons (версии до 0.4.7.7 включительно) обнаружена уязвимость отсутствия проверки авторизации в AJAX-действии iepa_use_gt_editor. Аутентифицированный пользователь с минимальными правами (Subscriber и выше) может изменять или удалять произвольные записи post meta. Уровень опасности — средний (CVSS 5.3).
Введение
В плагине Ibtana – Ecommerce Product Addons для WordPress выявлена уязвимость, связанная с отсутствием проверки прав доступа. Проблема затрагивает AJAX-действие iepa_use_gt_editor и позволяет злоумышленнику с учётной записью низкого уровня вмешиваться в метаданные записей сайта.Подробности
Уязвимость получила идентификатор CVE-2026-1984 и оценку CVSS 5.3 (MEDIUM). Затронуты все версии плагина Ibtana – Ecommerce Product Addons вплоть до 0.4.7.7 включительно, выпускаемого разработчиком vowelweb. Причиной является отсутствие проверки capability (полномочий) при обработке AJAX-действия iepa_use_gt_editor. Из-за этого аутентифицированный пользователь с ролью Subscriber или выше получает возможность обновлять или удалять произвольные записи post meta через ключ iepa_builder. Тип уязвимости — Missing Authorization (отсутствие проверки авторизации), приводящее к несанкционированному изменению метаданных записей. Стоит отметить, что для эксплуатации не требуется административный доступ: достаточно зарегистрированного аккаунта с минимальными правами, что расширяет круг потенциальных атакующих. Последствия могут включать порчу или подмену данных, используемых плагином для настройки и отображения контента.Что делать
Основная рекомендация — обновить плагин Ibtana – Ecommerce Product Addons до версии, в которой устранена уязвимость. Если на момент прочтения исправленная версия недоступна, следует рассмотреть временные меры:- ограничить возможность регистрации новых пользователей и пересмотреть роли существующих учётных записей;
- по возможности временно деактивировать плагин, если он не критичен для работы сайта;
- усилить мониторинг изменений в метаданных записей (post meta), в том числе по ключу iepa_builder;
- применять принцип наименьших привилегий и не выдавать пользователям роли выше необходимых.
Итог
CVE-2026-1984 — это уязвимость отсутствия авторизации в WordPress-плагине Ibtana – Ecommerce Product Addons, позволяющая пользователям уровня Subscriber и выше изменять или удалять произвольные post meta. При среднем уровне критичности она требует оперативной реакции: обновления плагина или применения компенсирующих мер защиты.Источник: CVE Project (cvelistV5)