CVE-2026-86802: неавторизованная инъекция контента в WordPress-плагине To Do List Member
В WordPress-плагине To Do List Member версий 1.4–1.6 обнаружена уязвимость, позволяющая неаутентифицированному злоумышленнику создавать произвольные опубликованные записи и элементы таксономий. Проблема связана с отсутствием проверок авторизации и nonce в процедуре импорта. Уровень опасности по CVSS — 3.7 (LOW).
Подробности
Уязвимость получила идентификатор CVE-2026-86802 и описана как «Unauthenticated Content Injection via Import». Согласно описанию, процедура импорта в плагине To Do List Member не выполняет проверки авторизации и nonce-токена, а также не валидирует источник, с которого загружаются импортируемые данные. Это означает, что любой внешний пользователь, не проходя аутентификацию, может инициировать операцию импорта и тем самым создать на сайте произвольные опубликованные записи (posts) и элементы таксономий (taxonomy terms). Подобный класс уязвимостей относится к категории недостатков контроля доступа (CWE-862, Missing Authorization) в сочетании с отсутствием защиты от подделки межсайтовых запросов (CSRF) и небезопасной загрузкой данных из внешнего источника. Отсутствие nonce-проверки делает возможным выполнение действий от имени сайта без ведома администратора, а отсутствие валидации источника позволяет подставлять произвольные данные. Оценка по шкале CVSS составляет 3.7 балла, что соответствует низкому уровню опасности. Тем не менее, даже низкая оценка не означает, что уязвимость можно игнорировать: возможность публикации произвольного контента может использоваться для SEO-спама, внедрения нежелательных ссылок, распространения вредоносных материалов или подготовки почвы для дальнейших атак. На момент публикации записи CVE информация о конкретном производителе плагина в описании не указана (affected: Unknown To Do List Member). Это означает, что официальное подтверждение от вендора и выпуск патча могут отсутствовать.Что делать
Поскольку сведения о выпущенном исправлении в записи CVE отсутствуют, рекомендуется принять следующие меры:- Проверить, установлен ли на вашем сайте WordPress-плагин To Do List Member версий 1.4–1.6. Если да — рассмотреть возможность его удаления или отключения до появления официального патча.
- Если плагин критически необходим, ограничить доступ к его функциональности импорта на уровне веб-сервера или WAF, заблокировав соответствующие эндпоинты для неаутентифицированных пользователей.
- Включить и настроить межсетевой экран веб-приложений (WAF) с правилами, блокирующими подозрительные запросы к административным обработчикам (admin-ajax.php, admin-post.php и аналогичным), особенно с параметрами, связанными с импортом.
- Регулярно проверять журналы веб-сервера и WordPress на предмет несанкционированных публикаций, новых записей и элементов таксономий, созданных без участия администратора.
- Следить за обновлениями от разработчика плагина и за обновлениями записи CVE-2026-86802 — возможно, в дальнейшем появится информация о патче.
- Ограничить права публикации и провести аудит существующего контента на предмет нежелательных материалов.
Источник: CVE Project (cvelistV5)