CVE-2026-89030: Blog2Social раскрывает email-адреса пользователей WordPress
В WordPress-плагине Blog2Social до версии 9.1.0 обнаружена уязвимость средней критичности, позволяющая пользователям с низкими привилегиями получать email-адреса всех зарегистрированных пользователей, включая администраторов. Проблема затрагивает сайты с установленным плагином Blog2Social от Adenion. Оценка CVSS — 5.3.
Подробности
Уязвимости подвержены версии плагина Adenion Blog2Social ниже 9.1.0. Корень проблемы — в AJAX-обработчике b2s_search_user, расположенном в файле includes/Ajax/Get.php. Данный обработчик вызывает метод B2S_Tools::searchUser() из файла includes/Tools.php, который возвращает email-адрес каждого подходящего под условие поиска пользователя. Ключевая проблема заключается в отсутствии проверки прав доступа: обработчик не ограничивает вызовы пользователями, обладающими возможностью list_users. В результате любой аутентифицированный пользователь с правом edit_posts — то есть, например, автор или contributor — способен через запрос к b2s_search_user получить email-адреса всех пользователей сайта, включая администраторов. Тип уязвимости — раскрытие информации (Information Disclosure), связанное с отсутствием контроля авторизации на уровне AJAX-обработчика (missing authorization). Хотя сама по себе утечка email-адресов не приводит к немедленной компрометации сайта, она создаёт серьёзную базу для дальнейших атак: целенаправленного фишинга, социальной инженерии и подбора учётных данных. Злоумышленнику достаточно иметь действующую учётную запись с правом edit_posts, что делает порог входа низким на сайтах, где разрешена регистрация авторов или гостевые учётные записи.Что делать
Основная и наиболее надёжная рекомендация — обновить плагин Blog2Social до версии 9.1.0 или выше, где уязвимость устранена. Обновление следует провести как можно скорее, поскольку эксплуатируемость уязвимости не требует сложных условий. Если немедленное обновление невозможно, рекомендуется рассмотреть временные митигации: — ограничить круг пользователей, обладающих правом edit_posts, оставив его только доверенным сотрудникам; — проверить журналы доступа к admin-ajax.php на предмет подозрительных вызовов action=b2s_search_user; — при наличии возможности — заблокировать соответствующий AJAX-экшен на уровне WAF или через дополнительный код; — провести аудит учётных записей и удалить неиспользуемые или скомпрометированные аккаунты. Также стоит помнить, что email-адреса, попавшие в руки злоумышленника, могут быть использованы для фишинговых рассылок, поэтому имеет смысл уведомить пользователей о потенциальном риске и рекомендовать проявлять бдительность в отношении входящих сообщений.Итог
CVE-2026-89030 —典型 пример уязвимости, возникающей из-за недостаточной проверки прав доступа в AJAX-обработчиках WordPress-плагинов. Несмотря на средний уровень критичности, утечка email-адресов создаёт предпосылки для более серьёзных атак. Единственное надёжное решение — обновление Blog2Social до версии 9.1.0. Администраторам сайтов, использующих этот плагин, следует незамедлительно проверить актуальность установленной версии.Источник: CVE Project (cvelistV5)