Jeśli otrzymali Państwo ode mnie e-mail kierujący na tę stronę, to dlatego, że Państwa witryna wydaje się uruchamiać wersję wtyczki Depicter Popup & Slider Builder (wtyczki WordPressa autorstwa Averta, znajdującej się w Państwa plikach w katalogu /wp-content/plugins/depicter/), która mieści się w zakresie objętym znanym problemem bezpieczeństwa. Ta strona wyjaśnia, na czym polega ten problem, jak ustalić, jak duże ma on znaczenie dla Państwa witryny, jak odczytać swoją wersję, nie dając się wprowadzić w błąd, oraz, ponieważ nie ma jeszcze wersji naprawiającej, co można zrobić w międzyczasie.

Problem to CVE-2026-66622, wstrzyknięcie SQL. Dotyczy każdego wydania od 3.5.0 wzwyż, w tym bieżącego wydania, 4.8.0. Opublikowana ocena istotności to CVSS 7.5 (Wysoka), nadana przez Patchstack, organizację, która zgłosiła ten problem. Nie wiem o istnieniu żadnego publicznie dostępnego kodu wykorzystującego tę lukę.

W chwili pisania tego tekstu nie istnieje żadna wersja naprawiająca ten problem. To niecodzienna sytuacja i chcę być w tej sprawie jasny: producent wtyczki nie wydał jeszcze wersji, która zamyka ten problem, a najnowsze wydanie (4.8.0, z 15 sierpnia 2026 roku) nadal jest nim dotknięte. W odróżnieniu od większości powiadomień tego rodzaju, tego nie da się zakończyć słowami „proszę zaktualizować do wersji X”. Kończy się ono kilkoma krokami tymczasowymi oraz zaleceniem, by obserwować pojawienie się wydania nowszego niż 4.8.0. Zaktualizuję tę stronę, jeśli i kiedy pojawi się wersja naprawiająca.

Starsze wydania, sprzed wersji 3.5.0, nie są dotknięte tym problemem. W odróżnieniu od niektórych błędów, ten został wprowadzony w konkretnym momencie historii wtyczki: podatny kod bazy danych pojawił się po raz pierwszy w wersji 3.5.0 (wrzesień 2024). Jeśli używają Państwo wersji starszej niż 3.5.0, ten konkretny problem Państwa nie dotyczy, choć wtyczka pozostająca w tyle o tyle wydań i tak warta jest aktualizacji z innych powodów.

Zanim przejdę dalej, zastrzeżenie, które decyduje o tym, jak duże ma to znaczenie dla Państwa witryny, ponieważ wolę je wyjaśnić od razu, niż pozwolić, by to powiadomienie zabrzmiało groźniej, niż jest w rzeczywistości. Jest to problem przechowywany i drugiego rzędu, co oznacza, że aby zadziałał, muszą być spełnione dwa warunki:

  1. Państwa witryna zbiera wpisy poprzez formularz Depicter. Depicter potrafi budować suwaki, wyskakujące okienka i paski powiadomień, które służą wyłącznie do wyświetlania treści, a jeśli to jedyne zastosowanie, jakie mu Państwo nadają, ten problem Państwa nie dosięga. Ma on znaczenie tylko wtedy, gdy korzystają Państwo z formularza Depicter (subskrypcyjnego, kontaktowego lub do zbierania leadów), który zapisuje to, co przesyłają odwiedzający.
  2. Administrator później otwiera lub eksportuje te wpisy. Złośliwe dane wprowadza przez formularz anonimowy odwiedzający, ale w chwili przesłania nic się jeszcze nie dzieje. Uruchamiają się one dopiero później, gdy Państwo lub inny administrator otworzą lub wyeksportują zebrane wpisy na ekranie Leads wtyczki w panelu administracyjnym WordPressa.

To nie jest błąd, który obca osoba mogłaby wykorzystać, by bezpośrednio odczytać Państwa bazę danych, i nie jest to coś, co atakuje odwiedzających Państwa witrynę. Uruchamia się on wewnątrz Państwa własnego panelu administracyjnego, i tylko wtedy, gdy zbierają Państwo wpisy z formularza, a następnie je przeglądają. Mogę odczytać wersję Państwa wtyczki z publicznego pliku, ale nie widzę, czy korzystają Państwo z formularza Depicter ani czy kiedykolwiek otwierają Państwo jego wpisy, więc to powiadomienie jest zapobiegawczym ostrzeżeniem, a nie potwierdzonym ustaleniem dotyczącym Państwa witryny.

Warto precyzyjnie określić, czym ten problem jest, a czym nie jest. Pozwala on danym wprowadzonym przez anonimowego odwiedzającego za pośrednictwem formularza odczytać dane z bazy danych Państwa witryny w chwili, gdy administrator przegląda zebrane wpisy: dane takie jak skróty haseł i tajne klucze, których to zapytanie nie miało ujawniać. To warto potraktować poważnie. Nie jest to jednak przejęcie konta administratora ani zdalne wykonanie kodu. Wspominam o tej granicy, ponieważ powiadomienia o bezpieczeństwie łatwo jest odczytać zbyt szeroko, a wolę, by znali Państwo rzeczywisty zasięg tego problemu, niż żeby zakładali Państwo najgorszy scenariusz.

Co można zrobić, dopóki nie ma poprawki

Ponieważ nie ma żadnej załatanej wersji do zainstalowania, chodzi tu o ograniczenie narażenia do czasu, aż się pojawi. W przybliżonej kolejności, od najbardziej do najmniej bezpośrednio pomagających:

  • Jeśli nie używają Państwo Depictera do zbierania wpisów z formularzy, nie są Państwo narażeni tą drogą. Korzystanie z niego wyłącznie do suwaków, wyskakujących okienek lub pasków powiadomień, które wyświetlają treść, jest bezpieczne.
  • Proszę ograniczyć krąg osób, które mogą otwierać ekran Leads. Problem uruchamia się tylko wtedy, gdy administrator przegląda zebrane wpisy. Jeśli mogą Państwo unikać otwierania lub eksportowania Leads wtyczki Depicter do czasu pojawienia się poprawki (albo ograniczyć dostęp do tego ekranu do możliwie niewielkiej liczby zaufanych osób), zmniejszają Państwo okno czasowe, w którym problem mógłby zadziałać.
  • Proszę rozważyć, czy w ogóle potrzebują Państwo teraz tego formularza. Jeśli konkretny formularz Depicter do zbierania leadów nie jest niezbędny, jego usunięcie lub wyłączenie usuwa drogę wprowadzania danych.
  • Jeśli Depicter nie robi nic istotnego na Państwa witrynie, usunięcie wtyczki całkowicie zamyka ten problem. To najbardziej kompletny krok, a przy tym odwracalny: po wydaniu wersji naprawiającej można wtyczkę ponownie zainstalować.
  • Proszę obserwować pojawienie się aktualizacji nowszej niż 4.8.0 i zastosować ją niezwłocznie, gdy się pojawi. To jest właściwa poprawka, kiedykolwiek producent ją wyda.

Żaden z tych kroków nie jest doskonałym zamiennikiem poprawki, dlatego głównym zaleceniem pozostaje obserwowanie, czy pojawi się wersja naprawiająca.

Jak odczytać swoją wersję, nie dając się zmylić

Jeśli chcą Państwo potwierdzić, jakiej wersji Państwo używają, proszę nie polegać na numerze wersji, który pojawia się w małym znaczniku ?ver= przy adresach zasobów wtyczki w źródle strony. W przypadku Depictera ten numer to znacznik czasu pliku, a nie wersja wtyczki: jest on generowany na podstawie momentu, w którym plik został ostatnio zapisany na Państwa serwerze, więc nie będzie zgodny z posiadanym przez Państwa wydaniem i może wyglądać niemal dowolnie.

Wiarygodnym sposobem odczytania swojej wersji jest własny plik readme.txt wtyczki, który znajduje się w katalogu wtyczki i jest serwowany jako zwykły plik tekstowy. Proszę odwiedzić:

https://your-site.example/wp-content/plugins/depicter/readme.txt

(zastępując your-site.example własną domeną) i sprawdzić linię Stable tag: blisko początku pliku. To jest zainstalowana wersja. Mogą ją Państwo również zobaczyć w panelu administracyjnym WordPressa w zakładce Wtyczki, gdzie przy nazwie „Depicter Popup & Slider Builder” wyświetlony będzie numer wersji.

Skąd to wiem i czego nie zrobiłem

Przyjrzałem się wyłącznie stronom i plikom, które Państwa witryna i tak udostępnia każdemu odwiedzającemu: Państwa stronie głównej, adresom zasobów w niej zapisanym oraz publicznemu plikowi readme.txt wewnątrz katalogu wtyczki. W ten sposób odczytałem wersję i potwierdziłem obecność wtyczki.

Nie uzyskałem dostępu do Państwa panelu administracyjnego WordPressa, do Państwa bazy danych ani do żadnej prywatnej części witryny. W szczególności nie przesłałem żadnego formularza, nie otworzyłem ani nie wyeksportowałem wpisów zbieranych przez Państwa formularze i nie wysłałem niczego do podatnej funkcji. Niczego nie przetestowano ani nie wykorzystano. Wykorzystanie tego problemu oznaczałoby umieszczenie ładunku wstrzyknięcia w czyjejś bazie danych, a to jest dokładnie to, przed czym ma chronić to powiadomienie, więc oczywiście nie zrobiłem tego Państwu.

Jak zweryfikować to niezależnie

Nie muszą Państwo wierzyć mi na słowo w żadnej z tych kwestii. Oto niezależne źródła:

Jeśli nie zajmują się Państwo tą witryną osobiście, proszę przekazać tę stronę osobie, która to robi. Jeśli mają Państwo pytania, zapraszam do odpowiedzi na e-mail, dzięki któremu trafili Państwo na tę stronę.