CVE-2026-92410: CSRF в WordPress-плагине Sign-up Sheets позволяет удалять записи
В WordPress-плагине Sign-up Sheets до версии 2.4.0 обнаружена уязвимость CSRF, позволяющая удалять записи о регистрациях через поддельный запрос. Проблема затрагивает сайты, где плагин активен и используются формы записи. Критичность оценивается как средняя: для эксплуатации требуется, чтобы жертва с нужными правами была авторизована.
Подробности
Уязвимость получила идентификатор CVE-2026-92410 и описана как «Sign-up Sheets < 2.4.0 — Arbitrary Sign-up Deletion via CSRF». Согласно официальному описанию, плагин Sign-up Sheets в версиях до 2.4.0 не выполняет должную проверку CSRF-нонса, который должен защищать действие удаления записи (sign-up deletion). Из-за этого атакующий может сформировать поддельный запрос и добиться удаления записей о регистрациях — при условии, что этот запрос будет обработан в сессии авторизованного пользователя, обладающего необходимыми правами (capability). Тип уязвимости — CSRF (CWE-352). Успешная эксплуатация не требует знания учётных данных: злоумышленнику достаточно заставить пользователя с соответствующими полномочиями (например, администратора или редактора сайта) перейти по специально подготовленной ссылке или открыть страницу с внедрённым запросом. В результате будут удалены произвольные записи о регистрациях, что может привести к потере данных и нарушению работы форм записи на сайте. Значение CVSS в записи CVE не указано, поэтому точную количественную оценку критичности привести нельзя; характер последствий (удаление данных) и необходимость авторизованной жертвы позволяют отнести проблему к категории средней опасности.Что делать
Основная рекомендация — обновить плагин Sign-up Sheets до версии 2.4.0 или выше, где проверка CSRF-нонса реализована корректно. Перед обновлением стоит сделать резервную копию базы данных и файлов сайта, чтобы исключить потерю данных при возможных сбоях. Если обновление невозможно в ближайшее время, следует рассмотреть временные митигации: ограничить доступ к административной части сайта, использовать средства защиты (WAF) с правилами против CSRF-атак, а также минимизировать число пользователей с правами, позволяющими удалять записи. Дополнительно рекомендуется проверять, не оставались ли подозрительные переходы по внешним ссылкам у авторизованных сотрудников, и контролировать целостность данных в списках записи. Также важно убедиться, что на сайте не используются устаревшие или неподдерживаемые версии плагина, и по возможности настроить регулярное резервное копирование, чтобы быстро восстановить удалённые данные. Итог: CVE-2026-92410 — умеренно опасная CSRF-уязвимость в WordPress-плагине Sign-up Sheets, допускающая удаление записей о регистрациях. Наиболее эффективная мера защиты — обновление до версии 2.4.0 и выше; при отсутствии такой возможности помогут компенсирующие меры в виде WAF, ограничения прав и резервного копирования.Источник: CVE Project (cvelistV5)