CVE-2026-81792: повышение привилегий в WordPress-плагине Product Catalog Enquiry for WooCommerce от MultiVendorX
В плагине Product Catalog Enquiry for WooCommerce от MultiVendorX (версии до 6.1.5 включительно) обнаружена уязвимость некорректного назначения привилегий, позволяющая злоумышленнику повысить свои права в системе. Проблема затрагивает сайты на WordPress с установленным и активным плагином. Уровень опасности по CVSS — 6.5 (средний).
Подробности
Уязвимости присвоен идентификатор CVE-2026-81792. Её тип — Incorrect Privilege Assignment (некорректное назначение привилегий), что в данном случае приводит к Privilege Escalation — повышению привилегий. Согласно описанию, проблема присутствует во всех версиях плагина Product Catalog Enquiry for WooCommerce by MultiVendorX вплоть до 6.1.5 включительно (диапазон «from n/a through 6.1.5»). Суть уязвимости в том, что логика назначения прав в плагине реализована некорректно: пользователь с низкими привилегиями может получить более высокий уровень доступа, чем ему положено. Это создаёт риск несанкционированных действий на сайте — от изменения контента до получения административных возможностей, в зависимости от конфигурации конкретной установки. По шкале CVSS уязвимость оценена в 6.5 балла, что соответствует среднему уровню опасности. Значение отражает значимость последствий (полное или частичное получение контроля над функциями сайта), но при этом не предполагает самого простого и массового сценария эксплуатации без каких-либо условий. Важно отметить: уязвимость затрагивает именно плагин, а не ядро WordPress или сам WooCommerce. Это означает, что риск актуален только для тех сайтов, где Product Catalog Enquiry for WooCommerce установлен и активен.Что делать
Основная рекомендация — как можно скорее обновить плагин Product Catalog Enquiry for WooCommerce by MultiVendorX до версии выше 6.1.5, если разработчик выпустил исправление. Проверить актуальную версию и наличие патча можно в официальном репозитории WordPress или на сайте вендора MultiVendorX. Если обновление на данный момент недоступно, стоит рассмотреть временные меры: - ограничить доступ к функциональности плагина для недоверенных или низкопривилегированных пользователей; - проверить роли и права пользователей сайта, удалить неиспользуемые учётные записи; - усилить мониторинг журналов аутентификации и действий пользователей на предмет подозрительной активности; - при отсутствии необходимости в плагине — временно деактивировать его до выхода патча. Также рекомендуется провести аудит сайта на предмет признаков компрометации: необычные административные учётные записи, изменения в настройках, несанкционированные публикации или правки. Итог: CVE-2026-81792 — это уязвимость среднего уровня, которая позволяет повысить привилегии на WordPress-сайтах с плагином Product Catalog Enquiry for WooCommerce от MultiVendorX версий до 6.1.5 включительно. Владельцам таких сайтов следует приоритизировать обновление плагина и проверить права пользователей. Своевременное патчинг-управление остаётся базовой мерой защиты от подобных угроз.Источник: CVE Project (cvelistV5)