Плагин Registration Form for WooCommerce ниже 1.1.5 — обновите: чужой мог стать админом при заказе

Коротко. В плагине Registration Form for WooCommerce (ThemeGrill) закрыта ошибка: при создании аккаунта во время оформления заказа сайт мог принять роль нового пользователя без нужной проверки. Посторонний без входа на сайт мог получить права администратора. Пример: 1.1.4 — уязвима, 1.1.5 — уже исправлена. Уязвимы версии до 1.1.4 включительно. Подтверждённых атак нет.

Касается ли это вас.

• Да, если в магазине стоит этот плагин ThemeGrill и версия ниже 1.1.5.
• Скорее нет, если плагина нет или уже стоит 1.1.5 или новее.
• Не знаете — в админке откройте «Плагины», найдите Registration Form for WooCommerce и посмотрите номер; либо перешлите статью тому, кто ведёт магазин.

Чем грозит. Полный захват сайта магазина: чужой администратор может менять товары, заказы, страницы и доступы.

Что сделать в первую очередь.

1. Сделайте копию сайта в панели хостинга или попросите того, кто ведёт сайт.
2. Войдите в админку WordPress → «Плагины» (или «Обновления»). Если обновления в админке WordPress нет — попросите поддержку хостинга обновить плагин registration-form-for-woocommerce до 1.1.5 или новее (WordPress Toolkit / «Приложения») или того, кто ведёт сайт.
3. Найдите Registration Form for WooCommerce. Если номер ниже 1.1.5 — обновите до 1.1.5 или новее с wordpress.org. Чужие zip с форумов не ставьте.
4. После обновления откройте «Пользователи» и проверьте, нет ли незнакомых учётных записей с ролью «Администратор». Если нашли — одного обновления плагина мало: смените пароли администраторов и сразу передайте сайт тому, кто его ведёт (или по ссылке для айтишника ниже).

Получилось, если в списке плагинов видна версия 1.1.5 или новее. Не получается — см. ниже.

Что сделать во вторую очередь.

1. Включите автообновление этого плагина, если доверяете релизам ThemeGrill на вашем магазине (по умолчанию автообновление плагинов в WordPress выключено).
2. Если магазин долго был на версии ниже 1.1.5 — ещё раз просмотрите администраторов и недавние регистрации при оформлении заказов.
3. Если сайт ставили не вы — попросите того, кто ведёт сайт, убедиться, что плагин один и обновлён до 1.1.5 или новее.

Если сразу не получается.

• Нет прав админа — перешлите готовый текст ниже тому, кто ведёт сайт.
• Боитесь сломать оформление заказа — сначала тестовая копия сайта, потом обновление.
• Пока обновить нельзя — временно отключите этот плагин в «Плагины» (успех: статус «Неактивен») или снимите создание аккаунта при оформлении заказа: WooCommerce → Настройки → Аккаунты и конфиденциальность (успех: заказ оформляется гостем без создания аккаунта). Перезагрузка сервера не нужна.
• «Патчи» и сборки с форумов не ставьте.

Готовый текст для того, кто ведёт сайт.

Здравствуйте! Нужно обновить плагин WooCommerce «Registration Form for WooCommerce» (slug registration-form-for-woocommerce, ThemeGrill) до версии 1.1.5 или новее с wordpress.org. Причина: CVE-2026-119075 — без входа на сайт можно было получить роль администратора при создании аккаунта на checkout; уязвимы версии до 1.1.4 включительно. Подтверждённых атак нет. После обновления проверьте пользователей с ролью Administrator; если есть чужие — смените пароли админов и разберитесь с компрометацией, одного обновления мало. Пока обновить нельзя — временно деактивируйте плагин или снимите создание аккаунта при оформлении заказа (WooCommerce → Настройки → Аккаунты и конфиденциальность). Подробности для специалиста: https://nevzlom.ru/ru/tech/2026-11-08-registration-form-wc/. Спасибо!

Версия для айтишника: https://nevzlom.ru/ru/tech/2026-11-08-registration-form-wc/

Источник. Registration Form for WooCommerce — wordpress.org (актуальная 1.1.5; в changelog — закрытие privilege escalation через роль на checkout). Номер CVE-2026-119075 и оценка CNA Wordfence — текстом, без ссылок на агрегаторы.