WordPress Events Manager до 7.4.5: утечка конфиденциальных данных (CVE-2026-105068)
В плагине Events Manager для WordPress обнаружена уязвимость, позволяющая получить конфиденциальные данные через отправляемые ответы. Проблема затрагивает версии по 7.4.5 включительно и оценена в 5.3 балла по шкале CVSS. Владельцам сайтов на WordPress рекомендуется обновить плагин.
Подробности
Уязвимость получила идентификатор CVE-2026-105068. Затронут продукт Events Manager от разработчика Pixelite — плагин для WordPress, позволяющий публиковать события, управлять бронированием и расписанием. Уязвимы все версии, начиная с неуказанной начальной и заканчивая 7.4.5 включительно. Тип уязвимости — Insertion of Sensitive Information Into Sent Data (внедрение конфиденциальной информации в отправляемые данные). Это означает, что в ответах, которые плагин отдаёт клиенту, могут содержаться данные, не предназначенные для получателя. Как следствие, атакующий может извлечь встроенную конфиденциальную информацию (Retrieve Embedded Sensitive Data). Подобные слабости часто возникают из-за недостаточной фильтрации полей в API-ответах, шаблонах или метаданных, из-за чего внутренние сведения утекают наружу. Оценка по шкале CVSS составляет 5.3 балла, что соответствует среднему уровню критичности. Такой балл обычно отражает ограниченное воздействие на конфиденциальность при отсутствии прямого влияния на целостность и доступность системы. Тем не менее эксплуатация уязвимости не требует аутентификации, что повышает практическую ценность проблемы для злоумышленников.Что делать
Основная рекомендация — проверить версию установленного плагина Events Manager. Если она не превышает 7.4.5, следует как можно скорее обновить расширение до актуальной версии. Производитель обычно выпускает патч вместе с публичным раскрытием информации; после установки исправления уязвимость перестаёт быть актуальной. Если обновление по каким-то причинам невозможно, стоит рассмотреть временные меры: ограничить доступ к административной части сайта, настроить веб-приложение (WAF) для фильтрации подозрительных запросов, а также внимательно проверить логи на предмет необычных обращений к эндпоинтам плагина. Дополнительно можно временно отключить функциональность событий, если она не критична для работы ресурса. Итог: уязвимость CVE-2026-105068 относится к среднему уровню опасности, однако игнорировать её не стоит — утечка чувствительных данных способна навредить как репутации, так и безопасности пользователей сайта. Стандартная гигиена безопасности и своевременное обновление плагинов остаются наиболее надёжным способом защиты.Источник: CVE Project (cvelistV5)