Pro-плагин Checkout Field Editor ниже 3.8.1 — обновите, особенно с загрузкой файлов на оплате

Коротко. В платной версии Checkout Field Editor for WooCommerce (Pro) от ThemeHigh закрыта ошибка, из‑за которой посторонний без входа на сайт мог удалять файлы из медиатеки (раздел «Медиа» / загруженные файлы магазина) — если на странице оформления заказа включено поле загрузки файла (File Upload в настройках плагина). Уязвимы версии до 3.8.0 включительно. Надёжный ориентир «уже закрыто» — 3.8.1 или новее (релиз патча 3 ноября 2026). Подтверждённых атак нет. Бесплатный плагин той же фирмы на wordpress.org (линейка 2.x) к этому CVE не относится.

Касается ли это вас.

• Да, если стоит именно Pro ThemeHigh Checkout Field Editor и версия ниже 3.8.1.
• Риск выше, если покупатели на checkout могут прикреплять файл (поле загрузки файла).
• Скорее нет, если Pro нет, уже стоит 3.8.1+, или у вас только бесплатная версия 2.x с wordpress.org.
• Не знаете — в админке откройте «Плагины», найдите Checkout Field Editor / ThemeHigh и посмотрите, Pro это или free и какой номер; либо перешлите статью тому, кто ведёт магазин.

Чем грозит. Могут пропасть загруженные картинки, документы заказа и другие файлы из медиатеки. Это порча и потеря файлов, а не «автоматический захват всего сервера одним кликом», но для магазина с заказами и товарными фото достаточно неприятно.

Что сделать в первую очередь.

1. Сделайте копию сайта и папки загрузок (или попросите того, кто ведёт хостинг).
2. Войдите в админку WordPress → «Плагины». Найдите Checkout Field Editor for WooCommerce (Pro) (ThemeHigh).
3. Если номер ниже 3.8.1 — обновите до 3.8.1 или новее: кабинет на themehigh.com / письмо с лицензией → скачать zip → «Плагины» → «Загрузить плагин» (или кнопка обновления, если лицензия уже активирована в настройках плагина). Чужие zip с форумов не ставьте.
4. После обновления откройте тестовое оформление заказа и проверьте, что поля checkout на месте.

Получилось, если в списке плагинов у Pro видна версия не ниже 3.8.1. Не получается — см. ниже.

Что сделать во вторую очередь.

1. Если поле загрузки файла на checkout не нужно — отключите его в WooCommerce → Checkout Field Editor (смотрите и classic, и blocks, если оба используются).
2. Включите напоминание обновлять Pro через кабинет ThemeHigh: обновление бесплатной 2.x с wordpress.org Pro не закрывает.
3. Если магазин долго был на версии ниже 3.8.1 с полем загрузки файла и заметили пропавшие файлы без ваших действий — не ограничивайтесь обновлением: восстановите медиа из бэкапа и проверьте список администраторов.

Если сразу не получается.

• Нет доступа к кабинету ThemeHigh / лицензия истекла — попросите того, кто ставил плагин, или поддержку ThemeHigh; пока — уберите поле загрузки файла с checkout или временно отключите Pro, если без него магазин может принять заказ. Митигация сработала, если на тестовом checkout поля загрузки файла нет или Pro в «Плагины» неактивен.
• Боитесь сломать оформление — сначала тестовая копия сайта, потом обновление.
• «Патчи» и «крякнутые» сборки с форумов не ставьте.

Готовый текст для того, кто ведёт сайт.

Здравствуйте! Нужно обновить плагин WooCommerce «Checkout Field Editor for WooCommerce (Pro)» от ThemeHigh до версии 3.8.1 или новее (кабинет themehigh.com / письмо с лицензией). Причина: CVE-2026-122041 — при поле загрузки файла на checkout посторонний без входа на сайт мог удалять файлы из медиатеки; уязвимы версии до 3.8.0 включительно. Подтверждённых атак нет. Бесплатная линейка 2.x с wordpress.org — другой плагин. Пока обновить нельзя — отключите поле загрузки файла на checkout или временно деактивируйте Pro. Подробности для специалиста: https://nevzlom.ru/ru/tech/2026-11-07-themehigh-checkout/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-07-themehigh-checkout/

Источник. Checkout Field Editor for WooCommerce (Pro) — ThemeHigh (актуальная 3.8.1, обновление 03.11.2026). Номер CVE-2026-122041 и оценка CNA Wordfence — текстом, без ссылок на агрегаторы.