Уязвимость при чтении файлов в плагине Smart Slider затрагивает 500 000 сайтов WordPress.

[zender]

Уязвимость в плагине Smart Slider 3 для WordPress, активно используемом более чем на 800 000 веб-сайтах, может быть использована для предоставления пользователям с уровнем подписки доступа к произвольным файлам на сервере.


Авторизованный злоумышленник может использовать это для доступа к конфиденциальным файлам, таким как wp-config.php , который содержит учетные данные базы данных, ключи и данные «соли», что создает риск кражи пользовательских данных и полного захвата веб-сайта.


Smart Slider 3 — один из самых популярных плагинов WordPress для создания и управления слайдерами изображений и каруселями контента. Он предлагает простой в использовании редактор с функцией перетаскивания и богатый набор шаблонов на выбор.


Уязвимость безопасности, зарегистрированная под номером CVE-2026-3098, была обнаружена и описана исследователем Дмитрием Игнатьевым и затрагивает все версии плагина Smart Slider 3 вплоть до 3.5.1.33.


Уязвимость получила средний уровень серьезности из-за необходимости аутентификации. Однако это ограничивает ее воздействие только сайтами с возможностью членства или подписки, что является распространенной функцией на многих современных платформах.

Уязвимость связана с отсутствием проверок прав доступа в действиях экспорта AJAX плагина. Это позволяет любому авторизованному пользователю, включая подписчиков, вызывать их.


По данным исследователей из компании Defiant, занимающейся безопасностью WordPress и разрабатывающей плагин безопасности Wordfence, функция 'actionExportAll' не проверяет тип файла и источник, что позволяет считывать произвольные файлы с сервера и добавлять их в архив экспорта.

Наличие одноразового кода (nonce) не предотвращает злоупотребления, поскольку его могут получить авторизованные пользователи.

«К сожалению, в уязвимой версии эта функция не включает проверку типа файла или источника файла. Это означает, что можно экспортировать не только файлы изображений или видео, но и файлы .php», — говорит Иштван Мартон , специалист по исследованию уязвимостей в компании Defiant.


«В конечном итоге это позволяет авторизованным злоумышленникам с минимальным доступом, таким как подписчики, читать любой произвольный файл на сервере, включая файл wp-config.php сайта, который содержит учетные данные базы данных, а также ключи и соли для криптографической защиты».

500 тысяч веб-сайтов по-прежнему уязвимы​

23 февраля Игнатьев сообщил о своих находках компании Wordfence, исследователи которой подтвердили работоспособность предоставленного концептуального эксплойта и проинформировали Nextendweb, разработчика Smart Slider 3.


Компания Nextendweb подтвердила получение сообщения 2 марта и 24 марта выпустила исправление, выпустив Smart Slider версии 3.5.1.34.

Согласно статистике WordPress.org , за последнюю неделю плагин был загружен 303 428 раз. Это означает, что как минимум 500 000 сайтов на WordPress используют уязвимую версию плагина Smart Slider 3 и подвержены атакам.


На момент написания статьи уязвимость CVE-2026-3098 не помечена как активно используемая, но ее статус может вскоре измениться, поэтому владельцам/администраторам веб-сайтов необходимы незамедлительные действия.