Уязвимость открытой переадресации в WordPress-плагине RafflePress (CVE-2026-97318)
В плагине Giveaways and Contests by RafflePress для WordPress до версии 1.12.27 обнаружена уязвимость Stored Open Redirect. Неаутентифицированный атакующий может заставить ссылки подтверждения и реферальные ссылки розыгрыша перенаправлять посетителей на произвольный внешний сайт. Критичность — средняя.
Подробности
Проблема затрагивает все версии плагина Giveaways and Contests by RafflePress для WordPress ниже 1.12.27. Согласно описанию CVE, плагин не выполняет должную проверку URL родительской страницы розыгрыша (параметрparent_url) перед его сохранением и последующим перенаправлением на него посетителей. Это приводит к уязвимости типа Stored Open Redirect (сохранённая открытая переадресация).
Ключевая особенность — отсутствие требования аутентификации: неаутентифицированный атакующий может внедрить произвольный внешний URL, после чего собственные ссылки подтверждения розыгрыша и реферальные ссылки сайта начнут перенаправлять пользователей на контролируемый злоумышленником ресурс. Поскольку переадресация исходит от доверенного домена, это существенно повышает эффективность фишинговых атак и распространения вредоносного ПО.
Тип уязвимости по классификации CWE — Open Redirect (CWE-601). Значение CVSS в записи CVE не указано.
Что делать
Основная и наиболее надёжная мера — обновить плагин Giveaways and Contests by RafflePress до версии 1.12.27 или выше. Обновление устраняет корневую причину: добавляет проверку URL родительской страницы перед сохранением и перенаправлением. Если немедленное обновление невозможно, рекомендуется применить компенсирующие меры:- временно деактивировать плагин, если розыгрыши в данный момент не проводятся;
- проверить существующие розыгрыши на наличие подозрительных значений
parent_url, указывающих на внешние домены; - усилить мониторинг исходящих перенаправлений и подозрительной активности на страницах конкурсов;
- провести разъяснительную работу с пользователями о рисках перехода по ссылкам подтверждения и реферальным ссылкам.
Источник: CVE Project (cvelistV5)