CVE-2026-97317: утечка секретного ключа reCAPTCHA в Giveaways and Contests by RafflePress < 1.12.27

ЗАГОЛОВОК CVE-2026-97317: утечка секретного ключа reCAPTCHA в Giveaways and Contests by RafflePress < 1.12.27 ===PREVIEW=== В WordPress-плагине Giveaways and Contests by RafflePress до версии 1.12.27 обнаружена уязвимость, позволяющая неаутентифицированному посетителю получить секретный ключ reCAPTCHA с публичной страницы любого активного розыгрыша. Проблема затрагивает сайты, где включена интеграция с reCAPTCHA. Утечка ключа может привести к обходу защиты от ботов и злоупотреблению сервисом. Критичность оценивается как высокая. ===DETAIL === В экосистеме WordPress-плагинов для проведения конкурсов и розыгрышей вновь зафиксирована уязвимость, связанная с некорректной обработкой секретов на стороне клиента. Речь идёт о CVE-2026-97317 в плагине Giveaways and Contests by RafflePress.

Подробности

Уязвимость затрагивает версии Giveaways and Contests by RafflePress ниже 1.12.27. Согласно описанию, плагин не удаляет секретный ключ reCAPTCHA из настроек розыгрыша, которые он встраивает в публичные страницы. В результате любой неаутентифицированный посетитель может извлечь этот ключ со страницы активного розыгрыша, если в нём настроена reCAPTCHA. Тип уязвимости — раскрытие секретного ключа (secret key disclosure) через публично доступную страницу. Точная оценка CVSS в записи не указана. Уязвимость не требует аутентификации и не требует взаимодействия с пользователем: достаточно открыть публичную страницу розыгрыша и проанализировать её содержимое. Секретный ключ reCAPTCHA предназначен для серверной проверки токенов и не должен попадать в клиентский код. Его раскрытие позволяет злоумышленнику обходить проверку reCAPTCHA, автоматизировать отправку форм, участвовать в розыгрышах с помощью ботов, а также потенциально злоупотреблять квотой сервиса Google reCAPTCHA, привязанного к сайту. Это снижает эффективность антибот-защиты и может исказить результаты конкурсов. Продукт: Giveaways and Contests by RafflePress (WordPress-плагин). Уязвимые версии: до 1.12.27.

Что делать

Основная рекомендация — обновить Giveaways and Contests by RafflePress до версии 1.12.27 или более поздней. В версии 1.12.27 устранена проблема раскрытия секретного ключа. Дополнительные меры: - Проверьте, используется ли на сайте reCAPTCHA в розыгрышах RafflePress. Если да — обновление критично. - После обновления рекомендуется сменить (перевыпустить) секретные ключи reCAPTCHA в консоли Google, поскольку старые ключи могли быть скомпрометированы. - Ограничьте публичный доступ к страницам розыгрышей, если они не должны быть общедоступны. - Проведите аудит логов на предмет подозрительной автоматизированной активности в формах розыгрышей. - При невозможности немедленного обновления рассмотрите временное отключение reCAPTCHA в настройках розыгрышей или приостановку активных кампаний до устранения уязвимости. Итог: CVE-2026-97317 — это уязвимость раскрытия секретного ключа reCAPTCHA в WordPress-плагине Giveaways and Contests by RafflePress до 1.12.27. Она позволяет неаутентифицированному злоумышленнику получить ключ с публичной страницы розыгрыша и обойти антибот-защиту. Рекомендуется как можно скорее обновить плагин до версии 1.12.27 или новее и перевыпустить скомпрометированные ключи reCAPTCHA.

Источник: CVE Project (cvelistV5)