Критическая уязвимость в плагине User Profile Builder для WordPress

Прочитал у Wordfence, что у популярного плагина User Profile Builder для WordPress нашли критическую уязвимость — обход аутентификации, позволяющий злоумышленнику войти под админом, если включена автологин-функция. Уязвимость есть в версиях до 3.16.4, исправлена в 3.16.5. Уязвимость критическая — CVSS 9.8. Плагин имеет более 40 тысяч активных установок.

Считаю, что это серьезно — не просто «ещё одна уязвимость», а прямой путь к полному контролю над сайтом. Особенно если у клиента включён автологин после регистрации. Даже если сайт не на виду, боты сканируют такие плагины в фоне. Уязвимость не требует логина, не нужна подборка пароля — просто отправка имени пользователя длиной 61–70 символов. Это не теория: уязвимость уже эксплуатируется, и Wordfence уже выдал правила для защиты.

На мой взгляд, важно не только обновить, но и проверить, включён ли автологин. Многие думают, что это безопасно, потому что «только для регистрации». Но если пользователь может заставить систему создать аккаунт с длинным именем — это уже не просто ошибка, а дыра. И она не требует сложной эксплуатации — просто отправка данных в нужном формате.

Я уже начал проверять всех клиентов, у кого установлен этот плагин. У тех, у кого включён автологин — в первую очередь. Уже поставил обновление на всех, где это возможно. У тех, у кого неактуальные версии — включил в план на неделю. Пока не тороплюсь с массовым обновлением, но проверяю каждый случай. Главное — не дать боту войти, а не только убрать вредоносный код после взлома.