WPCafe 3.0.10–3.0.17: раскрытие и изменение заказов без аутентификации через REST API (CVE-2026-86812)
В экосистеме WordPress-плагинов, отвечающих за приём заказов, ошибки в механизмах авторизации REST API представляют особую опасность: они напрямую затрагивают персональные данные клиентов и бизнес-логику. Именно к такому классу относится CVE-2026-86812 в плагине WPCafe, предназначенном для организации онлайн-заказов еды.
Подробности
Уязвимость затрагивает WPCafe в версиях с 3.0.10 по 3.0.17 включительно; проблема устранена в версии 3.0.18.
Суть проблемы — некорректная реализация проверки прав доступа к набору REST-эндпоинтов управления заказами (order-management). Функции-колбэки разрешений (permission callbacks) при неудачной проверке возвращают значение неверного типа, из-за чего механизм проверки не срабатывает должным образом. В результате запросы, которые должны требовать авторизации, обрабатываются как допустимые.
Практические последствия для атакующего, действующего без аутентификации:
- раскрытие информации о гостевых заказах — получение данных заказов, оформленных без регистрации;
- изменение статуса любого заказа;
- перемещение любого заказа в корзину (trash).
Тип уязвимости — некорректная авторизация (CWE-863 / broken access control) в связке с ошибкой типа возвращаемого значения. Значения CVSS в записи CVE не приведены. Учитывая отсутствие необходимости аутентификации и возможность как читать, так и изменять данные, характер воздействия следует оценивать как высокий: утечка персональных данных клиентов (имена, контакты, состав и детали заказов) и нарушение целостности данных о заказах.
Отдельно отмечу: поскольку эксплуатируются публично доступные REST-эндпоинты, для атаки не требуется учётная запись, специальные привилегии или взаимодействие с пользователем — достаточно отправить корректно сформированный HTTP-запрос.
Что делать
Основная и достаточная мера — обновить плагин WPCafe до версии 3.0.18 или более поздней. Если обновление невозможно в текущий момент, рассмотрите временные митигации:
- ограничьте доступ к REST API WordPress (например, через правила WAF или веб-сервера) для путей, связанных с
food-orders, блокируя неаутентифицированные запросы; - проверьте журналы веб-сервера и логи REST-запросов на предмет подозрительных обращений к эндпоинтам управления заказами за период, пока уязвимая версия была активна;
- при подтверждённых обращениях к эндпоинтам проведите ревизию заказов: сверьте статусы и наличие заказов в корзине, а также оцените, не были ли раскрыты данные гостевых заказов;
- в случае утечки персональных данных клиентов действуйте согласно внутренним процедурам реагирования и требованиям законодательства об обработке персональных данных.
После обновления рекомендуется убедиться, что REST-эндпоинты WPCafe вновь требуют соответствующей авторизации, и повторно просмотреть логи на предмет эксплуатации.
Итог: CVE-2026-86812 — серьёзная уязвимость разграничения доступа в WPCafe, позволяющая без аутентификации читать гостевые заказы и манипулировать любыми заказами. Поскольку исправление доступно, приоритетной задачей является обновление до 3.0.18; при отложенном обновлении необходимы компенсирующие меры на уровне WAF и обязательный анализ журналов на предмет возможной компрометации данных.
Источник: CVE Project (cvelistV5)