CVE-2026-89271: произвольная запись файлов в WP-BusinessDirectory
В WordPress-плагине WP-BusinessDirectory выявлена уязвимость CVE-2026-89271, позволяющая неаутентифицированному атакующему записывать файлы с произвольным содержимым в произвольные места файловой системы. В базовой конфигурации сервера выполнение кода при этом невозможно, однако последствия записи файлов могут быть серьёзными. Уязвимость затрагивает версии плагина до 4.0.2 включительно.
Подробности
Уязвимость затрагивает WP-BusinessDirectory версий через 4.0.2 включительно. Проблема кроется в обработчике загрузки файлов uploadFile: он не ограничивает ни тип сохраняемых файлов, ни путь их назначения. В результате неаутентифицированный злоумышленник может отправить специально сформированный запрос и записать файл с произвольным содержимым в произвольную директорию на сервере. Согласно описанию CVE, речь идёт именно о произвольной записи файлов (arbitrary file write). Важное уточнение: при стандартной конфигурации сервера добиться выполнения кода (remote code execution) через эту уязвимость не получится. Тем не менее запись файлов в неожиданные места сама по себе открывает широкие возможности для атаки — например, для перезаписи существующих конфигурационных или служебных файлов, нарушения логики работы приложения, подготовки почвы для дальнейших атак в связке с другими уязвимостями. Поскольку для эксплуатации не требуется аутентификация, порог входа для атакующего минимален: достаточно сетевого доступа к уязвимому сайту. Значение CVSS в записи CVE не указано, поэтому ориентироваться стоит на характер уязвимости: отсутствие аутентификации и произвольный контроль над содержимым и путём записи делают её опасной и требующей приоритетного устранения.Что делать
В первую очередь рекомендуется проверить, установлен ли на вашем сайте плагин WP-BusinessDirectory, и уточнить его версию. Поскольку затронуты версии вплоть до 4.0.2 включительно, при наличии обновления плагина следует установить его незамедлительно — производитель обычно выпускает патч вместе с публикацией CVE. Если официального исправления на момент проверки нет или обновление невозможно установить сразу, стоит применить компенсирующие меры. В их числе: ограничение доступа к обработчику загрузки файлов на уровне веб-сервера или WAF, блокировка неаутентифицированных запросов к эндпоинту uploadFile, а также временное отключение плагина, если он не является критичным для работы сайта. Дополнительно имеет смысл ограничить права записи в файловой системе для пользователя веб-сервера и настроить мониторинг на предмет появления неожиданных файлов в служебных директориях. После установки исправления полезно провести проверку сайта на наличие посторонних файлов, которые могли быть записаны ранее, и проанализировать логи веб-сервера на предмет подозрительных запросов к uploadFile. Итог: CVE-2026-89271 — серьёзная уязвимость неаутентифицированной записи файлов в WP-BusinessDirectory. Прямое выполнение кода в типовой конфигурации невозможно, однако риск компрометации сайта и подготовки к дальнейшим атакам остаётся высоким. Владельцам сайтов на WordPress с этим плагином следует как можно скорее обновиться до исправленной версии или применить описанные митигации.Источник: CVE Project (cvelistV5)