CVE-2026-91019: утечка платёжных ключей в Event Booking Manager for WooCommerce
В WordPress-плагине Event Booking Manager for WooCommerce до версии 5.6.0 обнаружена уязвимость раскрытия конфиденциальных данных. Пользователи с ролью Contributor и выше могут прочитать сохранённые учётные данные платёжных шлюзов PayPal и Stripe, включая секретные ключи. Проблема затрагивает сайты, где плагин установлен и активен.
Подробности
Уязвимость получила идентификатор CVE-2026-91019 и классифицируется как раскрытие конфиденциальной информации (credential disclosure). Согласно описанию, плагин Event Booking Manager for WooCommerce в версиях до 5.6.0 не ограничивает доступ к сохранённой конфигурации платёжных шлюзов. В результате пользователи с ролью Contributor и выше — то есть обладающие сравнительно невысокими привилегиями в WordPress — получают возможность просматривать учётные данные платёжных интеграций сайта. Речь идёт о ключах доступа к PayPal и Stripe, в том числе о секретных ключах (secret keys), которые используются для подписи и аутентификации платёжных запросов. Компрометация таких данных критична: злоумышленник, получивший секретный ключ, потенциально может инициировать несанкционированные операции, отправлять запросы от имени владельца аккаунта или иным образом злоупотреблять доверием к платёжному шлюзу. Дополнительную опасность создаёт тот факт, что роль Contributor часто выдаётся авторам контента и внештатным сотрудникам — то есть кругу лиц, которые не должны иметь никакого доступа к финансовой конфигурации сайта. Сведения о значении базовой оценки CVSS в записи CVE не приводятся. Уязвимость отнесена к категории проблем, связанных с отсутствием авторизационной проверки при доступе к защищённому ресурсу.Что делать
Основная и наиболее надёжная рекомендация — обновить плагин Event Booking Manager for WooCommerce до версии 5.6.0 или более поздней. В этой версии ограничение доступа к конфигурации платёжных шлюзов реализовано корректно. Если обновление по каким-либо причинам невозможно в ближайшее время, следует рассмотреть временные меры:- пересмотреть роли пользователей и минимизировать число учётных записей с уровнем Contributor и выше, удалив неактивные и избыточные;
- проверить журналы доступа и активности на предмет подозрительных обращений к настройкам плагина;
- в случае наличия признаков компрометации — немедленно сменить секретные ключи PayPal и Stripe в соответствующих панелях управления и проверить историю транзакций.
Итог
CVE-2026-91019 — показательный пример того, как недостаточная проверка прав доступа превращает рядовую роль в WordPress в инструмент для получения финансово значимых секретов. Владельцам сайтов на WooCommerce, использующим Event Booking Manager, необходимо как можно скорее обновиться до версии 5.6.0, а при наличии сомнений — провести ротацию платёжных ключей. Учитывая, что уязвимость позволяет читать секретные ключи платёжных шлюзов, пренебрегать ей не стоит даже при отсутствии публичного эксплойта.Источник: CVE Project (cvelistV5)