Уязвимость повышения привилегий в WordPress-плагине SMS Alert Order Notifications (CVE-2026-95594)
В плагине SMS Alert Order Notifications для WordPress обнаружена уязвимость повышения привилегий (CVE-2026-95594), затрагивающая версии вплоть до 4.0.0 включительно. Проблема связана с некорректным назначением прав доступа и позволяет злоумышленнику повысить свои привилегии в системе. Оценка критичности — 8.1 (HIGH).
Подробности
Уязвимости присвоен идентификатор CVE-2026-95594. Согласно описанию, проблема относится к классу Incorrect Privilege Assignment (некорректное назначение привилегий), что приводит к возможности Privilege Escalation — повышения привилегий. Иными словами, пользователь с низким уровнем доступа может получить права более высокой роли, вплоть до администратора сайта, что открывает путь к полному контролю над ресурсом. Уязвимы все версии плагина SMS Alert Order Notifications начиная с неопределённой ранней версии (n/a) и заканчивая 4.0.0 включительно. Производитель — Cozy Vision Technologies Pvt. Ltd. По методологии CVSS уязвимость получила базовую оценку 8.1, что соответствует высокому уровню критичности. Такой балл отражает серьёзный потенциальный ущерб: эксплуатация не требует физического доступа к серверу и может выполняться удалённо. Поскольку плагин интегрирован с процессами оформления заказов и работает с персональными данными покупателей, успешная атака способна привести к утечке информации, изменению заказов, установке вредоносного кода и полной компрометации интернет-магазина.Что делать
Основная рекомендация — как можно скорее обновить плагин SMS Alert Order Notifications до версии, в которой устранена уязвимость. На момент публикации записи CVE информация о конкретной исправленной версии в источнике не приведена, поэтому владельцам сайтов следует проверить наличие обновлений в административной панели WordPress и на официальной странице плагина, а также отслеживать сообщения разработчика Cozy Vision Technologies Pvt. Ltd. Если обновление временно недоступно, целесообразно рассмотреть временные митигации: — ограничить доступ к административной части сайта по IP-адресам; — включить двухфакторную аутентификацию для всех учётных записей; — провести аудит существующих пользователей и их ролей, удалив подозрительные или неиспользуемые аккаунты; — настроить мониторинг журналов событий WordPress на предмет попыток несанкционированного изменения прав; — при отсутствии необходимости в функционале рассмотреть временное отключение плагина. Также стоит проверить сайт на признаки компрометации: необычные учётные записи с правами администратора, изменения в файлах темы и плагинов, подозрительные задачи в планировщике. Итог: CVE-2026-95594 — серьёзная уязвимость повышения привилегий в плагине SMS Alert Order Notifications для WordPress с оценкой 8.1. Владельцам сайтов, использующим этот плагин версии 4.0.0 и ниже, необходимо незамедлительно обновиться или применить компенсирующие меры защиты. Промедление повышает риск полной компрометации интернет-магазина и утечки данных клиентов.Источник: CVE Project (cvelistV5)