Мониторинг Карточка CVE
Открытые данные
К списку уязвимостей
Средний
Опубликована

CVE-2026-66666

WordPress Core <= 7.1.2 - Unauthenticated Sensitive Data Exposure of Comments on Private and Unpublished Posts via Comment Feed vulnerability

Публикация: 06.10.2026·Обновлена: 06.10.2026, 23:05·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Insertion of Sensitive Information Into Sent Data vulnerability in Automattic WordPress allows Retrieve Embedded Sensitive Data. This issue affects WordPress: from 7.1 through 7.1.2, from 7.0 through 7.0.6, from 6.9 through 6.9.9, from 6.8 through 6.8.10, from 6.7 through 6.7.9, and from 6.6 through 6.6.9.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно
Устранить в течение 30 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu
dpkg-query -W -f='${Package}	${Version}\n'
RHEL / AlmaLinux
rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'
Windows PowerShell
Get-HotFix | Select-Object HotFixID, InstalledOn
Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Update the WordPress WordPress wordpress to the latest available version (at least 7.1.3, 7.0.7, 6.9.10, 6.8.11, 6.7.10, 6.6.10).

CVE Record: Patchstack ↗

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

  • Проверьте фактическую версию и результат установки по бюллетеню.
  • При необходимости перезапустите сервисы в согласованное окно.
  • Повторите проверку сканером и функциональные проверки.
  • Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Automattic / WordPress 

{
  "status": "affected",
  "changes": [
    {
      "at": "7.1.3",
      "status": "unaffected"
    }
  ],
  "version": "7.1",
  "versionType": "custom",
  "lessThanOrEqual": "7.1.2"
}
{
  "status": "affected",
  "changes": [
    {
      "at": "7.0.7",
      "status": "unaffected"
    }
  ],
  "version": "7.0",
  "versionType": "custom",
  "lessThanOrEqual": "7.0.6"
}
{
  "status": "affected",
  "changes": [
    {
      "at": "6.9.10",
      "status": "unaffected"
    }
  ],
  "version": "6.9",
  "versionType": "custom",
  "lessThanOrEqual": "6.9.9"
}
{
  "status": "affected",
  "changes": [
    {
      "at": "6.8.11",
      "status": "unaffected"
    }
  ],
  "version": "6.8",
  "versionType": "custom",
  "lessThanOrEqual": "6.8.10"
}
{
  "status": "affected",
  "changes": [
    {
      "at": "6.7.10",
      "status": "unaffected"
    }
  ],
  "version": "6.7",
  "versionType": "custom",
  "lessThanOrEqual": "6.7.9"
}
{
  "status": "affected",
  "changes": [
    {
      "at": "6.6.10",
      "status": "unaffected"
    }
  ],
  "version": "6.6",
  "versionType": "custom",
  "lessThanOrEqual": "6.6.9"
}

CVSS: оценки и векторы

CVSS 4.0 · cve6.9
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
AV · Вектор атакисеть
AC · Сложность атакинизкая
AT · Условия атакидополнительные условия не нужны
PR · Привилегиине нужны
UI · Участие пользователяне нужно
VC · Конфиденциальность уязвимой системынизкое
VI · Целостность уязвимой системынет
VA · Доступность уязвимой системынет
SC · Конфиденциальность связанной системынет
SI · Целостность связанной системынет
SA · Доступность связанной системынет

Классы CWE

CWE-201 · Включение чувствительной информации в отосланные данные

Источники и ссылки

Материал · patchstack.com · cveМатериал · wordpress.org · cveМатериал · patchstack.com · cveCVE Program · www.cve.org · CVE ProgramNVD · nvd.nist.gov · NVD
Происхождение полей
{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:14:37.882143+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T20:21:00.576033+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T20:21:00.576033+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T20:21:00.576033+00:00"
  },
  "solutions": [
    "cve"
  ],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:14:37.882143+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T20:21:00.576033+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

  1. Данные обновлены04.11.2026, 00:14
  2. Данные обновлены03.11.2026, 00:13
  3. Данные обновлены02.11.2026, 00:12
  4. Данные обновлены31.10.2026, 11:59
  5. Данные обновлены29.10.2026, 12:36
  6. Опубликована28.10.2026, 23:21

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТПРИОРИТЕТCVSSEPSSСИГНАЛЫОПУБЛИКОВАНАКарточка
CVE-2026-119977
WordPress Core 4.7.0 - 7.1.3 - Unauthenticated Upgrade-Window Staged-Installer Remote Code Execution
WordPress Foundation / WordPress · wordpress / wordpress
Критический8.1
0,6 %
KEVПатч
31.10.2026
CVE-2026-114570
WordPress Core <= 7.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Quick Edit
WordPress Foundation / WordPress
Средний4.9
0,23 %
22.10.2026
CVE-2026-93485
WordPress Core <= 7.1 - Cross Site Scripting (XSS) vulnerability
Automattic / WordPress
Высокий7.1
0,75 %
18.09.2026
CVE-2026-63030
WordPress < 7.0.2 - REST API batch-route confusion and SQL injection issue leading to Remote Code Execution
WordPress / WordPress
Критический9.8
10,65 %
KEV
17.07.2026
CVE-2026-60137
WordPress < 7.0.2 - Facilitated SQL Injection via author__not_in in WP_Query
WordPress / WordPress
Критический5.9
5,32 %
KEV
17.07.2026