КЕЙС RT-0291 Vulnerability Research

0-day в WordPress-плагине: эскалация привилегий до администратора

Наш собственный 0-day: плагин Import Users from CSV ≤ 1.3.1 позволял пользователю с одним лишь правом create_users создавать полноценных администраторов через CSV-импорт. CVSS 7.2, разбор и POC — публично.

Цель: Проверить гипотезу, что ограничения ролей при импорте пользователей обходятся через метаданные wp_capabilities
Путь: Missing Authorization (CWE-862) в обработчике импорта: плагин не проверял, кому разрешено назначать произвольные роли. CSV вида user_login,user_email,user_pass,role,wp_capabilities — с role=administrator или сериализованным a:1:{s:13:"administrator";b:1;} — создавал полноценных администраторов из аккаунта с низкими привилегиями (low-importer). Вход под созданной учёткой — полный контроль над сайтом: плагины, темы, исполнение кода.
Детектировано: Эксплуатация почти не оставляет следов: создание пользователей выглядит штатной работой плагина. Ищите администраторов, созданных вне административного UI, и записи импорта в журналах аудита

После: 0-day передан вендору, POC и разбор опубликованы (codeby.net, 28.09.2026). До патча: не выдавайте право create_users никому вне администраторов, отключите плагин, следите за новыми админами.

Имена, отрасли и детали инфраструктуры изменены; таймлайны и техники — нет. Больше кейсов →

Паттерн на одной странице

Capability без проверки — это дыра. Право create_users без вопроса «а кому можно назначать роли».
Сериализованные метаданные — второй контур обхода. Даже когда поле role отфильтровано, wp_capabilities проезжает в CSV.
Сторонние плагины — часть периметра. Аудит CMS должен включать чтение кода плагинов, а не только сверку версий.

Узнаёте паттерн?

Что мы проверим	Типичные трудозатраты
Тот же путь против вашей инфраструктуры, по подписанному ROE	2–4 нед
Проверка детектирования: что увидел бы ваш SOC	включено
Повторный тест после исправлений, в течение трёх месяцев	бесплатно

Начать разговор — ответ в течение двух рабочих дней

Может ли такой путь существовать у вас?

Расскажите о ключевых активах — мы скажем, насколько близок этот кейс к вашей реальности.

Заказать оценку