В популярном плагине Smart Slider 3 для WordPress обнаружена уязвимость, позволяющая авторизованным пользователям с минимальными правами получать доступ к произвольным файлам на сервере. Проблема затрагивает сотни тысяч сайтов, использующих уязвимые версии плагина.
Smart Slider 3 это один из наиболее распространённых плагинов для создания слайдеров и каруселей контента, установленный более чем на 800 000 сайтов.
Суть уязвимости
Уязвимость зарегистрирована под идентификатором CVE-2026-3098. Она затрагивает все версии плагина до 3.5.1.33 включительно.
Проблема связана с отсутствием проверки прав доступа в AJAX-обработчиках экспорта. Это позволяет любому авторизованному пользователю, включая подписчиков, вызывать соответствующие функции.
Функция actionExportAll не проверяет тип и источник файлов, что даёт возможность читать любые файлы на сервере и добавлять их в экспортируемый архив.
Наличие nonce не защищает от эксплуатации, поскольку авторизованные пользователи могут его получить.
Возможные последствия
Эксплуатация уязвимости позволяет получить доступ к чувствительным данным, включая файл wp-config.php, где содержатся:
учётные данные базы данных
ключи и соли безопасности
Это создаёт риск кражи данных и полного захвата сайта. Так как атака требует авторизации, уязвимость считается средней по критичности. Однако она особенно опасна для сайтов с регистрацией пользователей или системой подписок.
Распространённость проблемы
Несмотря на наличие исправления, значительное число сайтов остаётся уязвимым. По данным WordPress.org, только за одну неделю плагин был скачан более 300 000 раз, и около 500 000 сайтов всё ещё используют уязвимые версии.
Исправление
Разработчик плагина, компания Nextendweb, выпустил исправление 24 марта 2026 года в версии 3.5.1.34.
Исследователь Дмитрий Игнатьев сообщил об уязвимости 23 февраля, после чего она была подтверждена специалистами Wordfence и передана разработчику.
На момент публикации нет подтверждений активной эксплуатации, однако риск её появления в ближайшее время сохраняется.
Источник: bleepingcomputer