Плагин входа через Google/Facebook ниже 7.1.4 — обновите, иначе сайт могут захватить без вашего пароля

Коротко. В плагине WordPress OAuth Single Sign On – SSO (OAuth Client) от miniOrange (вход на сайт через Google, Facebook и похожие сервисы) закрыта критическая ошибка прав. В версиях 7.1.3 и ниже злоумышленник по сети может получить права администратора сайта — по оценке исследователей без вашего пароля от админки. Исправление — 7.1.4 или новее. Подтверждённых массовых атак пока нет, в списках активно атакуемых дыр этого номера нет — но для сайтов с этим плагином проверку лучше не откладывать.

Касается ли это вас.

• Да, если на WordPress стоит именно этот плагин miniOrange OAuth SSO и версия 7.1.3 или ниже.
• Скорее нет, если плагина нет; или уже стоит 7.1.4 или новее; или у вас другой продукт miniOrange (например, отдельный SAML SSO) — это не он.
• Не знаете — зайдите в «Плагины» и найдите «OAuth Single Sign On» / miniOrange, либо перешлите статью тому, кто ставил сайт.

Чем грозит. Полный захват сайта: чужие страницы, доступ к данным клиентов, рассылка от вашего имени, установка вредоносных плагинов. Для магазина и записи на услуги это простой и деньги.

Что сделать в первую очередь (на этой неделе).

1. Войдите в админку WordPress → «Плагины».
2. Найдите OAuth Single Sign On – SSO (OAuth Client) (miniOrange). Версия 7.1.3 или ниже — нажмите «Обновить» до 7.1.4 или новее.
3. Нет доступа к админке — отправьте готовый текст ниже тому, кто ведёт сайт или хостинг.

Получилось, если в списке плагинов видна версия не ниже 7.1.4 и вход через ваш OAuth-провайдер работает как раньше. Не получается обновить — отключите плагин, пока не поставят 7.1.4 или новее; не ставьте «патчи» с форумов.

Что сделать во вторую очередь.

1. Просмотрите список пользователей: нет ли новых администраторов, которых вы не создавали.
2. Если плагин долго был на ≤ 7.1.3 — смените пароли админов и проверьте настройки SSO у провайдера (Google/Facebook и т.д.).
3. Включите автообновление для этого плагина, если политика сайта позволяет.

Если сразу не получается.

• Боитесь ломать вход сотрудников — сначала копия сайта, потом обновление; либо подрядчику готовый текст.
• 7.1.4 конфликтует с темой/другим плагином — всё равно не оставляйте ≤ 7.1.3 включённым: отключите SSO-плагин и согласуйте окно ремонта.

Готовый текст для того, кто ведёт сайт.

Здравствуйте! По WordPress: CVE-2026-120844 в плагине miniOrange «OAuth Single Sign On – SSO (OAuth Client)» (slug miniorange-login-with-eve-online-google-facebook), CVSS 9.8 (Patchstack): через 7.1.3 Incorrect Privilege Assignment / Privilege Escalation, по CNA — без аутентификации в админку. KEV/подтверждённых атак нет. Прошу: обновить плагин до ≥ 7.1.4 (wordpress.org); если нельзя сразу — deactivate/удалить плагин; аудит пользователей с ролью administrator; проверить, что OAuth-вход после обновления работает. Подробности: https://nevzlom.ru/ru/tech/2026-11-06-miniorange-oauth/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-06-miniorange-oauth/

Источник. Плагин на WordPress.org (актуальная 7.1.4). Номер CVE-2026-120844 и оценка Patchstack (CNA) — текстом, без ссылок на агрегаторы с разборами атаки.