CVE-2026-7567: уязвимость в Temporary Login — полный разбор и защита

Критическая дыра безопасности в плагине Temporary Login для WordPress. Уровень: Критический (CVSS 9.8). Опубликовано 2026-05-01. Полный технический разбор, кто в зоне риска и точные шаги защиты.

Технический разбор

GuardLabs проанализировал CVE-2026-7567, критическую уязвимость обхода аутентификации в плагине Temporary Login для WordPress. Уязвимость оценена в 9.8 (Критическая) по шкале CVSS и затрагивает все версии до 1.0.0 включительно. Она позволяет неаутентифицированному злоумышленнику получить доступ к учетной записи, созданной плагином, отправив один специально сформированный веб-запрос. Это обходит основную функцию плагина — предоставление безопасного временного доступа на основе токенов.

Основной причиной является неправильная проверка ввода в функции maybe_login_temporary_user(). Функция ожидает, что GET-параметр temp-login-token будет скалярной строкой. Однако она не обеспечивает соблюдение этого типа. Злоумышленник может передать этот параметр в виде массива (например, ?temp-login-token[]=). Из-за особенности обработки типов в PHP, проверка empty() для массива, содержащего пустую строку, возвращает false, что позволяет обойти начальный этап валидации. Впоследствии массив передается в функцию sanitize_key(), которая, получив массив, возвращает пустую строку.

Эта пустая строка затем используется в качестве meta_value в запросе к базе данных get_users(), который предназначен для поиска пользователя, связанного с токеном. Запрос ищет пользователей с meta_key равным _temporary_login_token. Важно отметить, что когда базовый класс WordPress WP_User_Query получает пустую строку для meta_value, он игнорирует это условие и возвращает всех пользователей, соответствующих meta_key. В результате запрос возвращает список всех пользователей с активным временным входом. Затем функция выполняет вход злоумышленника под первым пользователем из этого списка, предоставляя ему полный доступ к учетной записи и привилегиям этого пользователя без каких-либо действительных учетных данных.

Кто в зоне риска

Любой сайт на WordPress, использующий плагин Temporary Login версии 1.0.0 и ниже, находится в зоне риска. Этот плагин обычно используется администраторами сайтов для предоставления временного, отзываемого доступа третьим лицам, таким как разработчики, дизайнеры или технические специалисты поддержки. Это популярный инструмент для устранения неполадок, обслуживания и совместной разработки без создания постоянных учетных записей пользователей или передачи основных учетных данных администратора.

Риск наиболее высок для сайтов, на которых есть хотя бы одна активная временная учетная запись. Если в данный момент активных временных учетных записей нет, эксплойт не сработает, так как запрос к базе данных не вернет пользователей. Однако, учитывая назначение плагина, он часто используется на средах разработки, тестирования и на рабочих сайтах, где распространено внешнее сотрудничество. Если временная учетная запись имеет высокие привилегии, например «Администратор», злоумышленник может использовать эту уязвимость для получения полного контроля над уязвимым сайтом WordPress.

Как закрыть уязвимость

Из-за критического характера этой уязвимости требуются немедленные действия. Выполните следующие шаги для защиты вашего веб-сайта:

1. Немедленно обновитесь: Самый важный шаг — обновить плагин Temporary Login до последней исправленной версии. Автор плагина выпустил исправление, которое устраняет недостаток проверки ввода. Перейдите в панель управления WordPress, откройте раздел «Плагины» и примените обновление для плагина Temporary Login.
2. Сделайте резервную копию сайта: Перед выполнением любых обновлений или изменений всегда создавайте полную резервную копию файлов и базы данных вашего WordPress. Это гарантирует, что вы сможете восстановить свой сайт в рабочее состояние, если в процессе обновления возникнут какие-либо проблемы.
3. Временные меры, если обновление невозможно: Если по какой-либо причине вы не можете немедленно обновить плагин, вам следует отключить и удалить его с вашего сайта, чтобы удалить уязвимый код. В качестве альтернативы, Web Application Firewall (WAF) может обеспечить уровень виртуального патчинга. Можно настроить пользовательское правило WAF для блокировки любых запросов, в которых параметр temp-login-token передается в виде массива (например, блокируя запросы, содержащие temp-login-token[ в строке запроса).
4. Автоматическое обнаружение уязвимостей: Для предотвращения будущих проблем используйте инструмент безопасности для мониторинга вашего сайта на наличие уязвимых плагинов и тем. Сервисы, такие как GuardLabs Web-Audit Guardian, а также другие авторитетные плагины безопасности и внешние сканеры, могут автоматически обнаруживать устаревшее программное обеспечение и предупреждать вас об известных уязвимостях, позволяя вам принять меры до того, как они будут использованы.

Частые вопросы

Хронология раскрытия

• 2026-05-01Публикация в NVD
• 2026-05-03Разбор GuardLabs