CVE-2026-92435: нарушение контроля доступа в REST API плагина Mailchimp for WooCommerce
В плагине Mailchimp for WooCommerce для WordPress обнаружена уязвимость нарушения контроля доступа (Broken Access Control) в REST API. Из-за отсутствия проверки прав в permission callback неаутентифицированные пользователи могут обращаться к административным эндпоинтам и вызывать устойчивое изменение состояния. Уязвимость затрагивает версии плагина до 6.1.1.
Подробности
Уязвимость затрагивает Mailchimp for WooCommerce версий ниже 6.1.1. Согласно описанию CVE, плагин не проверяет, обладает ли обращающийся пользователь необходимой ролью (capability) в permission callback для нескольких своих маршрутов REST API. В WordPress именно permission callback отвечает за то, чтобы к эндпоинту могли обращаться только пользователи с нужными правами. Поскольку эта проверка отсутствует, неаутентифицированные пользователи получают возможность достигать эндпоинтов, ориентированных на администраторов, и инициировать устойчивое изменение состояния (persistent state change). Иными словами, атакующему не требуется учётная запись или вход в систему — достаточно отправить специально сформированный запрос к REST API плагина. Устойчивое изменение состояния означает, что последствия запроса сохраняются в системе, а не исчезают после завершения сессии, что повышает практическую значимость проблемы. Сведения о значении CVSS в предоставленной записи CVE отсутствуют, поэтому количественная оценка критичности не приводится. Тем не менее сам вектор — доступ без аутентификации к административным функциям — традиционно считается серьёзным, особенно для сайтов электронной коммерции, где подобные плагины работают с данными магазина.Что делать
Основная рекомендация — обновить плагин Mailchimp for WooCommerce до версии 6.1.1 или более поздней. Именно в этой версии, судя по формулировке CVE, устранена описанная проблема. Обновление следует выполнять штатными средствами WordPress, предварительно создав резервную копию сайта и базы данных. Если немедленное обновление невозможно, стоит рассмотреть временные меры: ограничить доступ к REST API на уровне веб-сервера или WAF, а также провести аудит журналов на предмет подозрительных запросов к эндпоинтам плагина. Поскольку уязвимость связана с отсутствием проверки прав, универсальной конфигурационной «заплатки» на стороне самого плагина нет — приоритет должен быть у обновления. Также имеет смысл проверить, не были ли уже внесены несанкционированные изменения в настройки магазина или интеграции с Mailchimp, и при необходимости отозвать и перевыпустить API-ключи. Итог: CVE-2026-92435 — это уязвимость нарушения контроля доступа в REST API Mailchimp for WooCommerce до версии 6.1.1, позволяющая неаутентифицированным пользователям достигать административных эндпоинтов. Ключевое действие для защиты — своевременное обновление плагина и мониторинг подозрительной активности.Источник: CVE Project (cvelistV5)