CVE-2026-91078: захват POS-аккаунта в TillKit через встроенный PIN менеджера
В WordPress-плагине TillKit до версии 1.0.5 обнаружена уязвимость, позволяющая неаутентифицированному злоумышленнику получить привилегированную POS-сессию, используя жёстко зашитый в код PIN-код менеджера. Проблема затрагивает сайты, где активирован уязвимый плагин. Критичность высокая: возможны доступ к персональным данным клиентов и пользователей сайта, а также изменение данных магазина.
Подробности
Уязвимости подвержены версии TillKit ниже 1.0.5. Согласно описанию CVE, плагин при активации создаёт привилегированную POS-учётную запись с жёстко зашитым в код PIN-кодом, который является публично известным. При этом плагин не требует смены этого PIN-кода перед началом использования. Более того, публичная конечная точка входа в POS-систему аутентифицирует пользователя исключительно по этому PIN-коду — без какой-либо дополнительной проверки личности или прав доступа. Такая логика аутентификации открывает путь для неаутентифицированных атакующих: зная стандартный PIN (он зашит в код плагина и потому общедоступен), злоумышленник может получить полноценную привилегированную POS-сессию. Это даёт ему возможность читать персональные данные клиентов и пользователей сайта, а также вносить изменения в данные магазина. Сведения о векторе атаки — сетевой (AV:N), требования к привилегиям отсутствуют (PR:N), взаимодействие с пользователем не требуется (UI:N). Конкретное значение CVSS в записи CVE не приводится, однако совокупность характеристик указывает на высокий уровень риска.Что делать
Основная и наиболее надёжная рекомендация — обновить TillKit до версии 1.0.5 или более поздней, где проблема устранена. Если обновление невозможно в кратчайшие сроки, следует рассмотреть временные митигации: - ограничить доступ к публичной POS-конечной точке плагина средствами веб-сервера, WAF или правил файрвола; - проверить, не была ли уже скомпрометирована POS-учётная запись: проанализировать логи входов и подозрительную активность; - в случае обнаружения несанкционированного доступа — сменить все связанные учётные данные иPIN-коды, а также уведомить затронутых пользователей, если произошла утечка персональных данных; - временно деактивировать плагин, если он не используется в текущий момент. Также стоит помнить о типовой практике: любые предустановленные или стандартные учётные данные должны быть изменены сразу после развёртывания. Автоматическая генерация уникального PIN-кода при активации — более безопасный подход, чем статическое значение в коде. Итог: CVE-2026-91078 — серьёзная уязвимость, позволяющая обойти аутентификацию и получить привилегированный доступ к POS-системе магазина на WordPress. Наиболее эффективная мера защиты — незамедлительное обновление TillKit до версии 1.0.5. Владельцам интернет-магазинов и сайтов с установленным плагином следует также провести проверку на предмет компрометации данных.Источник: CVE Project (cvelistV5)