CVE-2026-87916: уязвимость в WPBot раскрывает персональные данные посетителей чата
В WordPress-плагине WPBot версий 8.4.9–8.5.9 обнаружена уязвимость, позволяющая неаутентифицированному злоумышленнику получить имена, адреса электронной почты и номера телефонов всех посетителей чата. Проблема связана с отсутствием проверки прав и nonce в AJAX-действии. Критичность высокая — утечка PII затрагивает неограниченный круг пользователей.
Подробности
Проблема присутствует в WPBot версий с 8.4.9 по 8.5.9 включительно. Как указано в описании CVE, плагин не выполняет никакой проверки capability (прав пользователя) или nonce при обработке AJAX-действия, отвечающего за вывод списка сохранённых чат-сессий. Это означает, что любой неаутентифицированный посетитель сайта может отправить специально сформированный запрос и получить данные всех чатов, хранящихся в системе. При запросе с широким диапазоном дат атакующий получает доступ к имени, адресу электронной почты и номеру телефона каждого посетителя, который когда-либо общался через чат. Речь идёт о персональных данных (PII), утечка которых может привести к спам-рассылкам, телефонному мошенничеству, фишингу и другим видам злоупотреблений. Особую опасность представляет то, что эксплуатация не требует никакой аутентификации — достаточно знать структуру AJAX-запроса, а также не требует взаимодействия с пользователем. CVSS-оценка в записи CVE не приведена, однако характер уязвимости (неаутентифицированный доступ к PII без ограничений по объёму) позволяет отнести её к высокому уровню риска. Уязвимость исправлена в версии 8.6.0.Что делать
Основная рекомендация — как можно скорее обновить плагин WPBot до версии 8.6.0 или более поздней. Это единственный надёжный способ закрыть уязвимость, поскольку исправление уже выпущено разработчиком. Если обновление по каким-то причинам невозможно, следует рассмотреть временные митигации: - ограничить доступ к AJAX-эндпоинтам плагина на уровне WAF или веб-сервера; - временно отключить функционал чата, если он не критичен для бизнеса; - усилить мониторинг подозрительных запросов к admin-ajax.php с параметрами, характерными для плагина; - проверить логи на предмет уже совершённых попыток эксплуатации. Также стоит уведомить службу безопасности: если сайт долгое время работал на уязвимой версии, данные посетителей могли быть скомпрометированы. В таком случае может потребоваться информирование пользователей и регуляторов в соответствии с требованиями законодательства о персональных данных.Итог
CVE-2026-87916 — очередное напоминание о том, что отсутствие проверки nonce и прав доступа в AJAX-обработчиках остаётся одной из самых распространённых причин утечек в WordPress-плагинах. Владельцам сайтов, использующим WPBot, необходимо немедленно обновиться до версии 8.6.0, а также провести аудит на предмет возможной компрометации персональных данных посетителей.Источник: CVE Project (cvelistV5)