CVE-2026-66435: уязвимость раскрытия данных в WordPress-плагине WP Rollback

В экосистеме WordPress регулярно появляются уязвимости, затрагивающие популярные плагины, и WP Rollback — не исключение. Этот плагин используется администраторами сайтов для отката установленных тем и плагинов к предыдущим версиям, что делает его востребованным инструментом управления. Однако в версиях вплоть до 3.1.2 включительно выявлена проблема, связанная с некорректной обработкой чувствительных данных.

Подробности

Уязвимости присвоен идентификатор CVE-2026-66435, ей соответствует оценка CVSS 5.9 (MEDIUM). Затронут продукт WP Rollback от разработчика Devin Walker: проблема присутствует во всех версиях начиная с неуказанной (n/a) и заканчивая 3.1.2 включительно. Тип уязвимости классифицируется как «Insertion of Sensitive Information Into Sent Data» — то есть вставка конфиденциальной информации в отправляемые данные (CWE, связанный с раскрытием встроенных секретов). Это означает, что при определённых сценариях работы плагин может передавать наружу данные, содержащие чувствительную информацию, доступ к которой не должен быть открыт. Как следствие, злоумышленник получает возможность извлекать встроенные в отправляемые данные секреты. Отдельно стоит отметить, что в описании CVE не уточняются условия эксплуатации (требуется ли аутентификация, уровень привилегий, вектор атаки по сети или локально). Оценка 5.9 указывает на средний уровень критичности: уязвимость требует внимания, но не относится к категории критических, эксплуатируемых без взаимодействия и без аутентификации. Публичных подтверждений активной эксплуатации в записи CVE не приводится.

Что делать

Основная рекомендация — обновление. Поскольку уязвимы все версии WP Rollback вплоть до 3.1.2, администраторам сайтов, использующим этот плагин, следует проверить установленную версию и, как только разработчик выпустит исправленную сборку, установить её. На момент публикации записи CVE информация о конкретной версии с исправлением не приводится, поэтому стоит отслеживать обновления плагина на официальной странице в каталоге WordPress. Дополнительные меры на период до выхода патча: - ограничить доступ к административной панели WordPress (не оставлять её открытой для неаутентифицированных пользователей, использовать IP-ограничения или базовую защиту); - проверить и по возможности сузить круг пользователей с правами администратора, способных работать с плагинами и темами; - если плагин не используется, рассмотреть возможность его удаления или деактивации; - вести мониторинг журналов веб-сервера и WordPress на предмет подозрительных исходящих запросов и обращений к эндпоинтам плагина; - применять общие практики защиты: своевременное резервное копирование, WAF, регулярный аудит установленных компонентов. Итог. CVE-2026-66435 — уязвимость среднего уровня опасности в WP Rollback (до 3.1.2), связанная с раскрытием чувствительных данных через отправляемые плагином данные. Прямой критической угрозы она не несёт, но игнорировать её не стоит: пока не выпущено исправление, администраторам рекомендуется ограничить доступ к панели управления и следить за релизами разработчика.

Источник: CVE Project (cvelistV5)