CVE-2026-87963: SQL-инъекция без аутентификации в WordPress-плагине Yo
В WordPress-плагине Yo (версии 1.1–1.3.1) обнаружена уязвимость SQL-инъекции, эксплуатация которой не требует аутентификации. Атакующий может прочитать произвольные данные из базы, включая хеши паролей администраторов. Уровень критичности — высокий (CVSS 8.6).
Подробности
Уязвимость затрагивает WordPress-плагин Yo в версиях с 1.1 по 1.3.1 включительно. Причина — отсутствие санитизации и параметризации параметра запроса username перед его использованием в SQL-запросе. Кроме того, значение параметра считывается до того, как WordPress применяет собственное экранирование запроса. Это открывает возможность для SQL-инъекции. Ключевая опасность заключается в том, что эксплуатация не требует аутентификации: злоумышленнику достаточно отправить специально сформированный запрос, чтобы внедрить произвольный SQL-код. Успешная атака позволяет читать произвольное содержимое базы данных, в том числе хеши паролей администраторов. Получение таких хешей создаёт прямую угрозу для дальнейшей компрометации сайта — например, через подбор паролей или их использование в атаках повторного использования учётных данных. Сведения об уязвимости опубликованы в записи CVE Project (cvelistV5). Оценка CVSS 8.6 отражает высокую степень риска: уязвимость эксплуатируется удалённо, не требует привилегий и приводит к существенной утечке конфиденциальных данных.Что делать
Основная рекомендация — как можно скорее обновить плагин Yo до версии, в которой уязвимость устранена. Если на текущий момент исправленная версия недоступна, следует рассмотреть временные меры: - отключить или удалить плагин, если он не используется критично для работы сайта; - ограничить доступ к уязвимым эндпоинтам на уровне WAF или веб-сервера; - усилить мониторинг запросов к сайту на предмет подозрительной активности и попыток SQL-инъекций; - провести аудит базы данных и журналов доступа, чтобы исключить факт компрометации; - в случае подозрения на утечку — сменить пароли администраторов и всех привилегированных учётных записей, а также проверить наличие посторонних записей и изменений. Также стоит помнить о базовых практиках: своевременное обновление плагинов и тем, минимизация числа установленных расширений и регулярный резервный копий позволяют снизить риски подобных инцидентов. Итог: CVE-2026-87963 — серьёзная уязвимость SQL-инъекции без аутентификации в плагине Yo. Высокий CVSS и возможность получить хеши паролей администраторов делают её приоритетной для устранения. Обновление плагина или его отключение — первоочередные шаги для защиты сайта.Источник: CVE Project (cvelistV5)