Содержание
WordPress-плагин Ally с более чем 400 000 активных установок получил уязвимость уровня 7,5/10. По оценке на основе публичной статистики, под риском оставались около 246 600 сайтов, пока владельцы не обновились.
Речь о проблеме класса SQL injection в плагине для доступности от Elementor. Атакующий мог работать без авторизации, то есть без учётной записи на сайте.
SQL injection в Ally: что нашли и какие версии затронуты
Уязвимость зарегистрировали как CVE-2026-2413. Она затрагивает все версии Ally до 4.0.3 включительно и связана с тем, что входные данные попадали в запросы к базе без корректной очистки.
Сценарий атаки описывают как time-based blind SQL injection. Это техника, когда злоумышленник не видит ответ базы напрямую, но вытягивает данные по косвенным признакам, например по задержкам выполнения запросов. В практическом смысле это риск утечки данных из базы сайта.
Плагин Ally вышел в ноябре 2025 и позиционируется как инструмент веб-доступности. Он не только ищет проблемы, но и помогает администратору применять исправления.
Сколько сайтов успели обновиться и почему цифра пугает
По статистике каталога WordPress, у Ally сейчас более 400 000 активных установок. При этом 38,4% (то есть 153 600 сайтов) уже стояли на актуальной версии, а значит около 246 600 оставались на уязвимых релизах.
Исправление выпустили 23 февраля в версии 4.1.0. WordPress призвал пользователей поставить обновление «немедленно».
Это типичная история для экосистемы WordPress: ядро чаще всего держится крепко, а большая часть проблем приходит через сторонние плагины и темы. Поэтому один популярный плагин с багом быстро превращается в сотни тысяч потенциальных целей.
Параллельно WordPress закрыла уязвимости в самом движке
На фоне истории с Ally разработчики WordPress выпустили WordPress 6.9.2 — это обновление безопасности, которое закрывает 10 уязвимостей. Среди них упоминаются проблемы классов XSS, обход авторизации и SSRF.
Ключевой факт по Ally простой: патч уже доступен в версии 4.1.0, а уязвимость CVE-2026-2413 закрывает именно этот релиз.
Подробнее по техническим деталям уязвимости: BleepingComputer
