Уязвимость IDOR в WordPress-плагине H5P (CVE-2026-112868)
В плагине H5P для WordPress (версии до 1.17.9 включительно) выявлена уязвимость типа IDOR, позволяющая обходить проверки авторизации через подконтрольные пользователю ключи. Проблема затрагивает сайты на WordPress с установленным H5P и оценена как средняя по критичности (CVSS 4.3). Владельцам сайтов рекомендуется обновиться до актуальной версии плагина.
Подробности
Уязвимость присутствует в плагине H5P для WordPress во всех версиях до 1.17.9 включительно. Согласно описанию, речь идёт об обходе авторизации через ключ, контролируемый пользователем (Authorization Bypass Through User-Controlled Key), что относится к классу ошибок неправильно сконфигурированных механизмов контроля доступа. Иными словами, плагин не в полной мере проверяет, имеет ли обращающийся к объекту пользователь соответствующие права, и полагается на идентификатор, который атакующий может подменить. Уязвимость отнесена к классу CWE, связанному с IDOR, и оценивается по шкале CVSS в 4.3 балла, что соответствует среднему уровню критичности. Такая оценка отражает необходимость наличия определённых условий для эксплуатации и ограниченное влияние на конфиденциальность, целостность и доступность данных. Тем не менее на практике IDOR-уязвимости нередко позволяют получить доступ к чужим данным или выполнить действия от имени других пользователей, поэтому игнорировать проблему не стоит. Стоит отметить, что H5P широко используется на образовательных и корпоративных порталах, где интерактивный контент применяется для обучения сотрудников и клиентов. В таких сценариях несанкционированный доступ к учебным материалам или связанным с ними данным может иметь репутационные и комплаенс-последствия.Что делать
Основная рекомендация — обновить плагин H5P для WordPress до версии, в которой устранена уязвимость. Поскольку в записи CVE указано, что проблема затрагивает версии вплоть до 1.17.9 включительно, следует проверить актуальную версию в официальном каталоге плагинов WordPress или у разработчика и установить доступное исправление. Если оперативное обновление невозможно, целесообразно рассмотреть временные меры: ограничить доступ к функциональности H5P для недоверенных пользователей, усилить мониторинг подозрительной активности в журналах веб-сервера и приложения, а также проверить настройки ролей и прав в WordPress. Дополнительно рекомендуется провести проверку на предмет возможной эксплуатации уязвимости до обновления. Итог: CVE-2026-112868 — умеренно опасная, но требующая внимания уязвимость в плагине H5P для WordPress. Своевременное обновление плагина и контроль прав доступа позволяют снизить риски. Компаниям, использующим H5P на публичных порталах, стоит включить эту проблему в регулярный процесс управления уязвимостями.Источник: CVE Project (cvelistV5)