CVE-2026-93507: уязвимость в WC Fields Factory позволяет копировать произвольные записи
В WordPress-плагине WC Fields Factory до версии 4.1.11 обнаружена уязвимость, связанная с недостаточной проверкой прав и отсутствием nonce при клонировании записей. Пользователи уровня Contributor и выше могут дублировать любые записи, включая приватные и черновики других пользователей, и получать к ним доступ на чтение. Проблема требует оперативного обновления плагина.
Подробности
Уязвимость присутствует в плагине WC Fields Factory версий ниже 4.1.11. Согласно описанию CVE, плагин не обеспечивает должного ограничения доступа к операции клонирования записей, а также не выполняет проверку nonce-токена для соответствующего действия. Отсутствие этих двух механизмов защиты создаёт условия для эксплуатации. Практическая реализация уязвимости позволяет пользователям с ролью Contributor и выше инициировать дублирование произвольных записей любого типа и любого статуса. Это означает, что злоумышленник с минимальными привилегиями внутри WordPress-сайта может скопировать не только собственные материалы, но и приватные записи, черновики и другой контент, принадлежащий другим пользователям, включая администраторов. После создания копии атакующий получает к ней доступ на чтение, что приводит к несанкционированному раскрытию информации. Точное значение CVSS в записи CVE не указано, однако характер уязвимости — обход контроля доступа с раскрытием приватного контента — позволяет отнести её к категории высокой или средней степени опасности в зависимости от контекста эксплуатации. Особую тревогу вызывает низкий порог входа: роль Contributor доступна широкому кругу авторов на многих сайтах, что расширяет круг потенциальных злоумышленников. Стоит отметить, что в записи CVE производитель указан как «Unknown WC Fields Factory», то есть атрибуция конкретного вендора в официальном описании не уточнена. Тем не менее уязвимость касается именно плагина WC Fields Factory и его версий до 4.1.11.Что делать
Основная и наиболее надёжная рекомендация — обновить плагин WC Fields Factory до версии 4.1.11 или более поздней. Производитель уже выпустил исправление, закрывающее описанную брешь, поэтому промедление с апдейтом увеличивает риск эксплуатации. Если по каким-либо причинам обновление невозможно выполнить незамедлительно, следует рассмотреть временные компенсационные меры: — ограничить число пользователей с ролью Contributor и выше, пересмотрев текущие учётные записи и удалив неактивные; — усилить мониторинг действий, связанных с клонированием и дублированием записей в WordPress; — по возможности временно деактивировать плагин, если его функциональность не является критичной для работы сайта; — провести аудит уже существующих записей на предмет появления подозрительных дубликатов приватного или чернового контента. Также рекомендуется проверять журналы активности пользователей на предмет необычных операций клонирования, особенно со стороны учётных записей с невысокими привилегиями. Итог: CVE-2026-93507 — это классическая уязвимость контроля доступа в WordPress-плагине, усугублённая отсутствием проверки nonce. Она позволяет пользователям уровня Contributor и выше читать чужой приватный контент через механизм клонирования. Единственное надёжное решение — обновление WC Fields Factory до версии 4.1.11 или новее. Владельцам сайтов на WordPress стоит включить этот плагин в приоритетный список для патчинга.Источник: CVE Project (cvelistV5)