CVE-2026-86782: IDOR в WordPress-плагине Visualizer до версии 4.0.6
В WordPress-плагине Visualizer выявлена уязвимость типа IDOR, позволяющая пользователям с ролью Contributor и выше изменять, переименовывать и публиковать чужие записи и страницы. Проблема затрагивает все версии плагина до 4.0.6 включительно и требует срочного обновления.
Подробности
Уязвимость получила идентификатор CVE-2026-86782 и классифицируется как IDOR (Insecure Direct Object Reference) — небезопасная прямая ссылка на объект. Согласно описанию, плагин Visualizer в версиях до 4.0.6 включительно не выполняет должным образом проверку авторизации при обращении к действиям, отвечающим за построение диаграмм (chart-building actions). В результате пользователь с ролью Contributor (автор) и выше получает возможность: - публиковать чужие записи и страницы; - переименовывать их; - перезаписывать содержимое материалов, которыми он не владеет, включая приватные черновики других пользователей. Роль Contributor в WordPress по умолчанию предназначена для создания собственных черновиков и не предполагает управления чужими материалами. Таким образом, уязвимость позволяет выйти за рамки штатной модели прав и вмешиваться в контент, принадлежащий другим авторам, редакторам и администраторам. На момент публикации записи CVE производитель плагина в карточке указан как «Unknown Visualizer», а значение CVSS не приведено. Тем не менее, с учётом того, что эксплуатация не требует административных привилегий и может привести к подмене или публикации чужого контента, риски следует оценивать как высокие. Особенно опасен сценарий для сайтов с несколькими авторами, где роль Contributor выдаётся внештатным сотрудникам, гостям или подрядчикам.Что делать
Основная и наиболее надёжная рекомендация — обновить плагин Visualizer до версии 4.0.6 или выше. Именно в этой версии, судя по заголовку записи CVE, устранена описанная проблема. Дополнительные меры: - проверьте фактическую версию плагина в разделе «Плагины» административной панели WordPress и убедитесь, что автообновления включены; - проведите аудит учётных записей с ролью Contributor и выше: удалите неактуальные, ограничьте выдачу повышенных прав; - проверьте журналы изменений записей и страниц на предмет несанкционированных правок, публикаций и переименований, особенно приватных черновиков; - при невозможности немедленного обновления рассмотрите временное ограничение доступа к функциональности плагина или отключение роли Contributor для ненадёжных пользователей; - используйте плагины контроля целостности и аудита действий пользователей для раннего выявления подобных инцидентов. Стоит помнить, что уязвимости типа IDOR опасны своей незаметностью: внешне легитимный пользователь выполняет действия через штатные эндпоинты, и без логирования такие изменения легко пропустить. Итог: CVE-2026-86782 — серьёзная уязвимость в WordPress-плагине Visualizer, затрагивающая версии до 4.0.6. Она позволяет авторам и пользователям с более высокими правами публиковать и перезаписывать чужой контент. Единственное надёжное решение — обновление до версии 4.0.6 или новее; дополнительно рекомендуется провести аудит прав и журналов изменений.Источник: CVE Project (cvelistV5)