CVE-2026-77005: удаление произвольных файлов в WordPress-плагине Code Monkeys Proposals
В WordPress-плагине Code Monkeys Proposals (версии до 1.0.1 включительно) обнаружена уязвимость обхода пути, позволяющая любому авторизованному пользователю, включая подписчика, удалять произвольные файлы на сервере. Эксплуатация может привести к полному захвату сайта. Критичность высокая.
Подробности
Уязвимость присутствует в WordPress-плагине Code Monkeys Proposals версий по 1.0.1 включительно. Согласно описанию CVE, плагин не проверяет предоставляемый пользователем путь к файлу перед его удалением, а также не проверяет права (capability) пользователя, выполняющего запрос. Из-за отсутствия валидации пути становится возможной атака типа «обход пути» (path traversal): злоумышленник может указать путь за пределами ожидаемого каталога и тем самым инициировать удаление произвольных файлов на сервере. Дополнительно отсутствие проверки прав означает, что для эксплуатации достаточно любой учётной записи, прошедшей аутентификацию, — например, пользователя с ролью subscriber (подписчик). Это существенно расширяет круг потенциальных атакующих: даже минимально привилегированный аккаунт даёт возможность выполнить вредоносное действие. Наиболее опасный сценарий — удаление критически важных файлов, например конфигурационного wp-config.php или иных ключевых компонентов. Это может привести к нарушению работы сайта, потере данных и, как прямо указано в описании уязвимости, к полному захвату сайта (site takeover). Значение CVSS в записи CVE не приводится.Что делать
Основная рекомендация — как можно скорее обновить плагин Code Monkeys Proposals до версии, в которой уязвимость устранена. На момент публикации записи CVE информация о фиксированной версии не указана, поэтому владельцам сайтов следует внимательно отслеживать обновления от разработчика плагина и официальные каналы WordPress. Если обновление пока недоступно, разумно рассмотреть временные меры: ограничить или временно отключить плагин до выхода исправления; ужесточить контроль доступа к сайту, чтобы снизить число учётных записей с низкими привилегиями; включить регулярное резервное копирование файлов и базы данных, чтобы обеспечить быстрое восстановление после возможного инцидента. Также полезно провести аудит пользовательских аккаунтов и удалить неиспользуемые. Итог: CVE-2026-77005 — опасная уязвимость, поскольку требует лишь аутентификации и позволяет удалять произвольные файлы, вплоть до захвата сайта. Приоритет действий — обновление плагина и временные митигации до выхода патча.Источник: CVE Project (cvelistV5)