Уязвимость раскрытия конфиденциальных данных в WordPress-плагине Gantry 5 Framework (CVE-2026-110889)

В плагине Gantry 5 Framework, широко используемом для создания тем и шаблонов WordPress, выявлена уязвимость, получившая идентификатор CVE-2026-110889. Проблема относится к классу «генерация сообщений об ошибках, содержащих конфиденциальную информацию» (CWE-209), и ей присвоен высокий уровень опасности — CVSS 7.5.

Подробности

Уязвимость затрагивает плагин Gantry 5 Framework всех версий от n/a до 5.6.4 включительно. По описанию CVE, при определённых условиях сообщения об ошибках, формируемые плагином, могут содержать чувствительные данные, что позволяет злоумышленнику извлечь встроенную конфиденциальную информацию. Подобный класс уязвимостей опасен тем, что раскрытие внутренних данных (например, путей, конфигурационных параметров или иных служебных сведений) может стать основой для дальнейших атак на сайт.

Согласно записи CVE, оценка CVSS составляет 7.5 (HIGH). Проблема не требует сложных условий эксплуатации и может быть использована удалённо — детали вектора атаки в исходной записи не раскрываются.

Что делать

Рекомендуется проверить используемую версию Gantry 5 Framework и, если она не выше 5.6.4, как можно скорее обновить плагин до актуальной версии, в которой устранена уязвимость. Перед обновлением стоит сделать резервную копию сайта и протестировать изменения на тестовой среде.

Если обновление пока невозможно, следует рассмотреть временные меры: ограничить доступ к административной части, включить подробное журналирование и мониторинг подозрительной активности, а также убедиться, что на сервере отключён вывод детальных сообщений об ошибках для посетителей сайта (display_errors выключен, ошибки пишутся только в лог).

Дополнительно рекомендуется провести проверку сайта на предмет попыток эксплуатации уязвимости и просмотреть журналы веб-сервера на наличие аномальных запросов к плагину.

Уязвимость CVE-2026-110889 относится к категории высокого риска: раскрытие чувствительных данных через сообщения об ошибках способно упростить злоумышленнику подготовку дальнейших атак. Владельцам сайтов на WordPress с установленным Gantry 5 Framework версии 5.6.4 и ниже следует приоритизировать обновление плагина и усилить мониторинг.

Источник: CVE Project (cvelistV5)