В плагине TI WooCommerce Wishlist, популярном расширении для WordPress с более чем 100 000 активных установок, выявлена серьёзная уязвимость в системе безопасности.
Плагин TI WooCommerce Wishlist позволяет владельцам интернет-магазинов на WooCommerce внедрить удобную функцию «Избранное», давая покупателям возможность сохранять понравившиеся товары. Часто его используют в сочетании с другими расширениями, например WC Fields Factory, чтобы гибко настраивать формы и улучшать пользовательский опыт.
В последней версии TI WooCommerce Wishlist (2.9.2 на момент публикации), а также во всех предыдущих, обнаружена серьёзная уязвимость — она позволяет злоумышленникам загружать произвольные файлы без авторизации. Уязвимость отслеживается под идентификатором CVE-2025-47577 и представляет реальную угрозу для сайтов, использующих данный плагин.
Уязвимость возникает из-за критической ошибки в коде плагина, а именно в функции tinvwl_upload_file_wc_fields_factory, расположенной в файле integrations/wc-fields-factory.php.
Эта функция использует механизм wp_handle_upload WordPress, который обычно проверяет типы файлов, чтобы предотвратить загрузку вредоносного контента.
Однако в плагине данная защита явно отключена путём установки параметра 'test_type' => false, что фактически позволяет злоумышленникам загружать файлы любых типов, включая исполняемые PHP-скрипты.
Такие файлы могут быть использованы для удалённого выполнения кода (RCE) путём прямого доступа к загруженному содержимому на сервере.
Тем временем сообщество WordPress ожидает официального обновления от команды TI WooCommerce Wishlist в надежде на устранение уязвимости и восстановление безопасной работы плагина.
До тех пор рекомендованное действие остаётся неизменным — отключить и удалить плагин, чтобы предотвратить возможные кибератаки.
В более широком контексте этот инцидент подчёркивает важность строгих мер безопасности при разработке плагинов.
По данным отчёта, неверная реализация обхода стандартной проверки файлов WordPress служит наглядным предупреждением для разработчиков, показывая, как одна ошибка в настройках может подвергнуть риску тысячи сайтов.
В нынешних условиях владельцам магазинов необходимо сохранять бдительность и ставить безопасность превыше удобства, поскольку цифровая среда продолжает сталкиваться с постоянно эволюционирующими киберугрозами.
Материалы: Gbhackers.com (AMAN MISHRA)