CVE-2026-96532: критическая уязвимость в WordPress-плагине Testimonials Widget
В WordPress-плагине Testimonials Widget версий до 4.0.4 включительно обнаружена уязвимость, позволяющая неаутентифицированному пользователю изменять или создавать произвольные записи. Проблема затрагивает все сайты с установленной уязвимой версией плагина и представляет высокую опасность.
Подробности
Уязвимости подвержены все версии плагина Testimonials Widget вплоть до 4.0.4 включительно. Проблема заключается в отсутствии проверки прав доступа (capability check) и проверки принадлежности (ownership check) при обработке формы отправки отзыва на стороне клиента (front-end). Из-за этого любой неаутентифицированный пользователь может отправить специально сформированный запрос к форме и тем самым: - изменить или создать произвольные записи (posts) в базе данных WordPress; - перезаписать заголовок, содержимое и автора любой существующей записи. Фактически это даёт атакующему возможность подменять контент сайта без входа в административную панель. Уязвимость относится к классу нарушений контроля доступа (Broken Access Control) и по методологии CVSS v3.1 оценивается как критическая — с вектором, отражающим сетевую эксплуатацию без аутентификации и низкую сложность атаки. Точное значение CVSS в записи CVE не приведено, однако характер описанного воздействия позволяет отнести проблему к высокому или критическому уровню риска. Стоит отметить, что производитель плагина в записи CVE указан как «Unknown», то есть на момент публикации данные о вендоре и его реакции отсутствуют. Информация об исправленной версии также не приводится.Что делать
Наиболее надёжная рекомендация — незамедлительно удалить плагин Testimonials Widget, если он не критичен для работы сайта. Поскольку сведения об официальном патче отсутствуют, установка обновления может быть невозможна. Если отказаться от плагина нельзя, следует применить компенсирующие меры: - ограничить доступ к front-end формам плагина на уровне WAF, заблокировав подозрительные запросы к его обработчикам; - включить обязательную аутентификацию для отправки отзывов, если функциональность плагина это позволяет; - настроить мониторинг целостности контента, чтобы оперативно выявлять несанкционированные изменения записей; - регулярно создавать резервные копии базы данных и файлов сайта для быстрого восстановления. Кроме того, рекомендуется проверить журналы веб-сервера и базы данных на предмет признаков эксплуатации уязвимости — подозрительных POST-запросов к эндпоинтам плагина и неожиданных изменений в таблице wp_posts.Итог
CVE-2026-96532 — серьёзная уязвимость, позволяющая неаутентифицированному злоумышленнику полностью контролировать содержимое записей WordPress-сайта. Учитывая отсутствие официального исправления и данных о вендоре, владельцам сайтов следует как можно скорее удалить плагин Testimonials Widget или изолировать его функциональность с помощью внешних средств защиты.Источник: CVE Project (cvelistV5)