CVE-2026-85010: уязвимость манипуляции ценами в RestroPress
В WordPress-плагине RestroPress до версии 3.4.6 обнаружена уязвимость, позволяющая неаутентифицированному злоумышленнику подменять цену товаров при оформлении заказа. Проблема затрагивает интернет-магазины и сервисы доставки еды, использующие плагин. Уровень критичности — средний (CVSS 5.3).
Подробности
Уязвимость затрагивает все версии RestroPress ниже 3.4.6. Согласно описанию, плагин не выполняет проверку на стороне сервера цены, которую клиент передаёт для дополнений к товару (add-ons), когда позиции добавляются в корзину или обновляются в ней. Из-за отсутствия валидации неаутентифицированный пользователь может указать произвольную стоимость дополнения и оформить заказ на любую выбранную им сумму — вплоть до нуля. Тип уязвимости — манипуляция ценой (price manipulation), связанная с недоверенным вводом данных от клиента. Оценка по шкале CVSS v3 составляет 5.3, что соответствует среднему уровню критичности. Уязвимость не требует аутентификации, что повышает риск её практической эксплуатации: атакующему достаточно получить доступ к функционалу корзины на уязвимом сайте. Проблема особенно актуальна для сайтов, где RestroPress используется как основной инструмент приёма заказов, — недостоверное ценообразование ведёт к прямым финансовым потерям владельца бизнеса.Что делать
Основная рекомендация — обновить RestroPress до версии 3.4.6 или более поздней. Это единственный надёжный способ закрыть уязвимость, поскольку исправление затрагивает логику серверной проверки цен. Если немедленное обновление невозможно, следует рассмотреть временные митигации: - ограничить либо временно отключить функционал дополнений к товарам (add-ons) в настройках плагина, если он не критичен для работы; - усилить мониторинг заказов с аномально низкими суммами и настроить уведомления о подозрительных транзакциях; - применять правила WAF для фильтрации подозрительных запросов к корзине, если инфраструктура это позволяет; - провести проверку уже оформленных заказов на предмет заниженных сумм. Важно понимать, что перечисленные меры являются обходными и не заменяют установку патча. Итог: CVE-2026-85010 — умеренно опасная, но легко эксплуатируемая уязвимость, способная привести к финансовым потерям. Владельцам сайтов на WordPress с установленным RestroPress рекомендуется как можно скорее обновиться до версии 3.4.6 и проверить журнал заказов на признаки злоупотреблений.Источник: CVE Project (cvelistV5)