Уязвимость в WordPress-плагине ThirstyAffiliates раскрывает скрытые партнёрские ссылки (CVE-2026-97314)

В WordPress-плагине ThirstyAffiliates, предназначенном для управления партнёрскими ссылками и отслеживания кликов, выявлена уязвимость, получившая идентификатор CVE-2026-97314. Проблема связана с недостаточной проверкой объектов в обработчике редиректов и отслеживания переходов.

Подробности

Уязвимость затрагивает версии ThirstyAffiliates ниже 3.12.1. Обработчик отслеживания редиректов плагина не проверяет статус и тип объекта, к которому относится запрос. В результате неаутентифицированный атакующий может:

• раскрыть целевые URL-адреса неопубликованных (non-public) партнёрских ссылок, которые по замыслу должны оставаться скрытыми;
• записывать сфабрикованные данные статистики кликов, искажая аналитику переходов.

Таким образом, уязвимость объединяет две проблемы: раскрытие информации (information disclosure) и подделку данных (data integrity). Точная оценка CVSS в записи CVE не приведена. Эксплуатация не требует аутентификации и специальных привилегий, что повышает практическую значимость проблемы для публично доступных сайтов.

Что делать

Рекомендуется обновить плагин ThirstyAffiliates до версии 3.12.1 или более поздней — в ней устранена описанная проблема. Если обновление невозможно в кратчайшие сроки, следует рассмотреть временные митигации: ограничить доступ к обработчику редиректов на уровне веб-сервера или WAF, а также усилить мониторинг аномальной активности в статистике кликов. После обновления стоит проверить журналы переходов на предмет подозрительных записей и при необходимости скорректировать аналитические отчёты.

Владельцам сайтов, использующих плагин для управления партнёрскими программами, важно учесть, что раскрытие целевых URL неопубликованных ссылок может привести к утечке конфиденциальных партнёрских условий, а подделка статистики — к неверным выводам об эффективности кампаний и, как следствие, к ошибочным бизнес-решениям.

Итог: уязвимость CVE-2026-97314 требует оперативного обновления ThirstyAffiliates до 3.12.1. Учитывая отсутствие необходимости в аутентификации для эксплуатации, рекомендуется не откладывать патчинг и проверить целостность статистики переходов.

Источник: CVE Project (cvelistV5)