WooCommerce Subscriptions 9.1.0: контроль сайта у бота

Пришло уведомление об обновлении WooCommerce Subscriptions — вышла версия 9.1.0 с исправлением нескольких уязвимостей, включая одну, при которой неавторизованный пользователь может получить контроль над сайтом. Это не просто «обновление» — это срочный шаг, чтобы не стать жертвой.

Прочитал у WooCommerce: в версии 9.1.0 закрыта уязвимость, позволяющая неавторизованному пользователю получить полный контроль над сайтом. Другие исправления касаются утечки данных и обхода проверок при работе с подписками. Затронуты все магазины, где установлен плагин, особенно те, где есть публичные формы подписки или доступ к данным пользователей.

Считаю, что это действительно серьёзно — если уязвимость в плагине, который работает с личными данными и платежами, — она может быть найдена ботами за час. Уже начал проверять у клиентов, кто использует Subscriptions, и ставлю обновление в план на неделю. Не жду, пока кто-то скажет «у нас взломали» — лучше закрыть дыру до того, как её найдут.

У себя сделал так: проверил версию у всех клиентов, кто в поддержке. У тех, у кого не обновилось — напомнил, что даже при включённых автоматических обновлениях нужно проверить, что версия 9.1.0. У кого не получается — помогаю через WooCommerce.com, не оставляю без контроля. Следующий шаг — проверить логи и файлы у тех, кто не успел обновиться, на всякий случай.