CVE-2026-96962: утечка email-адресов в Pie Register через код приглашения
В WordPress-плагине Pie Register до версии 3.8.4.14 обнаружена уязвимость, позволяющая неаутентифицированному злоумышленнику получить имена пользователей и email-адреса всех, кто регистрировался по известному ему коду приглашения. Проблема затрагивает сайты, использующие плагин с функцией регистрации по инвайтам, и требует срочного обновления.
Подробности
Проблема затрагивает Pie Register версий ниже 3.8.4.14. Согласно описанию CVE, плагин не ограничивает доступ к отчёту по коду приглашения (invitation-code report). В результате неаутентифицированный посетитель сайта, знающий действительный код приглашения, может обратиться к этому отчёту и получить список всех пользователей, зарегистрировавшихся с использованием данного кода, — включая их имена пользователей (username) и адреса электронной почты. Ключевая особенность уязвимости — отсутствие необходимости в учётной записи: атакующему достаточно располагать валидным кодом приглашения. Такие коды нередко распространяются среди ограниченного круга лиц (сотрудников, партнёров, участников закрытых сообществ) и могут утекать через публичные страницы, скриншоты, переписку или сторонние утечки. Даже один известный код открывает путь к массовому сбору контактных данных зарегистрированных пользователей. Точное значение CVSS в записи CVE не указано, однако характер уязвимости — неаутентифицированное раскрытие персональных данных (email и username) — позволяет отнести её к категории высокой значимости. Утечка email-адресов создаёт основу для целевого фишинга, спама, попыток подбора паролей и социальной инженерии, а связка «username + email» дополнительно упрощает атаки на учётные записи. Сведения об уязвимости опубликованы в рамках CVE Project (cvelistV5). Информация о конкретных эксплуатируемых в реальных атаках сценариях в записи не приводится.Что делать
Основная и наиболее надёжная мера — обновить Pie Register до версии 3.8.4.14 или более поздней. Обновление устраняет отсутствие проверки прав доступа к отчёту по коду приглашения. Перед обновлением рекомендуется создать резервную копию сайта и базы данных. Если немедленное обновление невозможно, следует рассмотреть временные митигации: - ограничить доступ к административным и внутренним эндпоинтам плагина на уровне веб-сервера или WAF; - проверить, используются ли на сайте коды приглашений, и по возможности приостановить регистрацию по ним до установки патча; - проанализировать логи веб-сервера на предмет обращений к отчётам по кодам приглашения со стороны неаутентифицированных пользователей. Дополнительно стоит исходить из того, что коды приглашений могли быть скомпрометированы: имеет смысл заменить действующие коды и уведомить затронутых пользователей о возможной утечке их email-адресов, рекомендовав проявлять осторожность к подозрительным письмам и ссылкам. Итог: CVE-2026-96962 — показательный пример того, как отсутствие проверки прав доступа к служебной функции превращается в источник утечки персональных данных. Администраторам сайтов на WordPress с Pie Register следует незамедлительно обновиться до версии 3.8.4.14 и проверить, не использовались ли коды приглашений не по назначению.Источник: CVE Project (cvelistV5)