Analytical use of cookies
Критична вразливість у плагіні AI Website Builder WordPress (CVE-2026-82923)
Вразливість CVE-2026-82923 дозволяє віддалене виконання коду через REST API плагіна AI Website Builder WordPress. Рекомендується термінове оновлення та обмеження доступу.
- CVSS
- 9.8 CRITICAL
- EPSS
- 56.73%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
Плагін AI Website Builder WordPress версії 1.0.0 не перевіряє авторизацію або nonce на REST API, що дозволяє неавторизованим зловмисникам встановлювати та активувати плагіни і теми, імпортувати контент, записувати файли у директорію завантажень та видаляти контент і медіа. Якщо PHP виконується з директорії завантажень, це може призвести до віддаленого виконання коду.
Бізнес-вплив
Ця вразливість становить критичну загрозу для вебсайтів на базі WordPress, що використовують цей плагін. Зловмисники можуть отримати повний контроль над сайтом, змінювати контент, встановлювати шкідливі компоненти або виконувати довільний код, що ставить під загрозу цілісність і доступність ресурсів. Власникам інфраструктури слід терміново оцінити ризики та вжити заходів для захисту.
Рекомендовані дії адміністратора
Адміністраторам рекомендується негайно перевірити наявність оновлень плагіна від розробника або розглянути його тимчасове відключення. Варто обмежити доступ до REST API, провести аудит логів на предмет підозрілої активності та зменшити експозицію директорії завантажень. Рекомендується також перевірити конфігурацію сервера, щоб PHP не виконувався з директорії uploads. DataHouse підтримує перевірку версій, управління патчами та моніторинг мережевої активності для зниження ризиків.