CVE-2026-97332: обход .htaccess в User Private Files раскрывает приватные файлы на WordPress Multisite
В WordPress-плагине User Private Files до версии 2.2.0 обнаружена уязвимость, позволяющая неаутентифицированному злоумышленнику скачивать приватные файлы других пользователей на мультисайтовых установках. Правило перезаписи .htaccess, на которое полагается плагин для проверки доступа, на Multisite просто не срабатывает. Проблема затрагивает конфиденциальность пользовательских данных и требует срочного обновления.
Подробности
Уязвимость затрагивает плагин User Private Files версий ниже 2.2.0. Продукт фигурирует в записи CVE как «Unknown User Private Files» — то есть затронутые версии определяются по диапазону «до 2.2.0». Тип уязвимости — неаутентифицированное раскрытие информации (Unauthenticated Private File Disclosure) через обход правила перезаписи .htaccess. Логика работы плагина строится на правиле rewrite в .htaccess, которое перенаправляет запросы к приватным файлам через внутреннюю проверку прав доступа. На установках WordPress Multisite это правило не достигается: маршрутизация запросов устроена иначе, и файлы отдаются напрямую, минуя проверку. В результате любой неаутентифицированный пользователь может обратиться к приватным файлам других пользователей и получить их содержимое. Уязвимость относится к классу CWE-284 (некорректное управление доступом) и CWE-552 (файлы, доступные внешним сторонам). CVSS-оценка в исходной записи CVE не указана, однако отсутствие требования аутентификации и прямая утечка пользовательских данных позволяют отнести проблему к высокому уровню риска. Особенность в том, что на одиночных (non-multisite) установках защита может работать корректно — проблема проявляется именно в конфигурации Multisite, что затрудняет её обнаружение при стандартном тестировании.Что делать
Основная рекомендация — обновить плагин User Private Files до версии 2.2.0 или выше, где устранена некорректная обработка маршрутизации на Multisite. Перед обновлением сделайте резервную копию сайта и базы данных. Если обновление невозможно в кратчайшие сроки, рассмотрите временные митигации: — ограничьте доступ к каталогу с приватными файлами на уровне веб-сервера (например, запрет прямых запросов к директории хранения через конфигурацию Nginx/Apache); — проверьте, не находятся ли приватные файлы в общедоступной директории uploads, и при необходимости перенесите их за пределы webroot; — включите дополнительный контроль доступа на уровне сервера для путей, связанных с плагином; — проведите аудит логов веб-сервера на предмет подозрительных обращений к файлам пользователей. Также стоит уведомить пользователей о потенциальной утечке, если есть основания полагать, что файлы уже были скомпрометированы. Итог: CVE-2026-97332 — серьёзная уязвимость раскрытия приватных файлов в WordPress-плагине User Private Files, эксплуатируемая без аутентификации и специфичная для Multisite. Единственное надёжное решение — переход на версию 2.2.0+. Владельцам мультисайтовых установок следует отнестись к обновлению приоритетно.Источник: CVE Project (cvelistV5)