Критическая уязвимость обхода аутентификации в WordPress-плагине GiveWP (CVE-2026-97196)
В плагине GiveWP для WordPress обнаружена критическая уязвимость обхода аутентификации, получившая идентификатор CVE-2026-97196 и оценку CVSS 9.1. Проблема затрагивает все версии плагина вплоть до 4.16.9 включительно. Уязвимость позволяет злоумышленникам обходить механизмы аутентификации, что делает её опасной для всех сайтов, использующих этот плагин.
Подробности
Согласно описанию в базе CVE, уязвимость относится к классу «Improper Validation of Unsafe Equivalence in Input» (некорректная проверка небезопасной эквивалентности входных данных) и приводит к обходу аутентификации (Authentication Bypass). На практике это означает, что злоумышленник может получить доступ к функциональности, которая должна быть защищена проверкой подлинности пользователя, без предоставления корректных учётных данных. Уязвимость затрагивает плагин GiveWP во всех версиях, начиная с неуказанной (n/a) и заканчивая 4.16.9 включительно. Поскольку плагин широко используется для приёма онлайн-пожертвований, под угрозой оказываются как сами сайты, так и финансовые операции и персональные данные доноров. Учитывая высокую оценку CVSS 9.1, уязвимость можно отнести к категории критических: эксплуатация не требует сложных условий и способна привести к компрометации сайта. Производитель плагина — Liquid Web / StellarWP — указан в записи CVE как затронутая сторона. На момент публикации не приводится информации о наличии публичного эксплойта, однако критический характер проблемы требует незамедлительных действий.Что делать
Основная рекомендация — как можно скорее обновить плагин GiveWP до версии, в которой уязвимость устранена. Поскольку официальный патч в записи CVE не детализируется, владельцам сайтов следует: - проверить текущую версию GiveWP в панели администратора WordPress; - отслеживать выпуск обновлений от Liquid Web / StellarWP и установить исправленную версию сразу после её появления; - при отсутствии патча рассмотреть временное отключение плагина, если он не критичен для работы сайта; - усилить мониторинг логов аутентификации и подозрительной активности на сайте; - использовать средства защиты (WAF) для блокировки аномальных запросов к эндпоинтам плагина. Также рекомендуется проверить целостность сайта на предмет несанкционированного доступа и, при необходимости, сменить пароли администраторов. Итог: CVE-2026-97196 — критическая уязвимость обхода аутентификации в GiveWP версий до 4.16.9 включительно. Владельцам сайтов на WordPress с этим плагином необходимо срочно обновить его и провести проверку на компрометацию. Игнорирование проблемы создаёт прямой риск для безопасности сайта и данных пользователей.Источник: CVE Project (cvelistV5)