Имя плагина	Уведомление о новом пользователе на заказ
Тип уязвимости	Межсайтовый скриптинг (XSS)
Номер CVE	CVE-2026-3551
Срочность	Низкий
Дата публикации CVE	2026-04-16
Исходный URL-адрес	CVE-2026-3551

Хранимая XSS-уязвимость в плагине Уведомление о новом пользователе на заказ (<= 1.2.0): Что нужно знать владельцам сайтов и администраторам

В плагине Уведомление о новом пользователе на заказ для WordPress была обнаружена хранимая уязвимость межсайтового скриптинга (XSS), затрагивающая версии до и включая 1.2.0 (CVE-2026-3551). Хотя для эксплуатации уязвимости требуется аутентифицированный администратор для взаимодействия с вредоносным полезным нагрузкой, она все равно представляет реальный риск — особенно в сочетании с социальной инженерией, украденными учетными данными или цепочечными атаками.

В этом посте я объясню, как именно работает эта уязвимость, кто на нее подвержен, каковы могут быть реальные последствия и — что наиболее важно — какие шаги вы должны предпринять сейчас, чтобы снизить риск и восстановиться, если ваш сайт был затронут. Я также покажу, как управляемый WAF, такой как WP‑Firewall, может быть использован для смягчения и виртуального патча этой уязвимости, пока вы применяете долгосрочные исправления.

Это написано с точки зрения опытных специалистов по безопасности WordPress — без маркетинговой шелухи, только практическое, предписывающее руководство, которое вы можете реализовать сегодня.

---

Исполнительное резюме (быстрые действия)

• Уязвимость: Хранимая XSS через настройку “Тема письма пользователя” плагина, когда плагин сохраняет несанитизированный ввод, который позже отображается в административном контексте или в представлении электронной почты.
• Затронутые версии: Уведомление о новом пользователе на заказ <= 1.2.0
• CVE: CVE-2026-3551
• Необходимые привилегии для хранения вредоносной полезной нагрузки: Администратор (аутентифицированный)
• Немедленные шаги по смягчению:
  • Если возможно, обновите плагин до исправленной версии, как только она станет доступна.
  • Если обновление недоступно, отключите или удалите плагин.
  • Проверьте настройки плагина и записи в базе данных на наличие скриптоподобных полезных нагрузок и очистите или удалите их.
  • Примените правила WAF или виртуальные патчи для блокировки попыток эксплуатации и полезных нагрузок.
  • Укрепите доступ администратора (2FA, ограничения по IP, надежные пароли).
• Обнаружение: Проверьте журналы на наличие POST-запросов к конечной точке настроек плагина и проверьте параметры базы данных на наличие неожиданных HTML/скриптовых текстов в поле темы письма.

---

Почему это важно — хранимая XSS в настройках администратора более опасна, чем кажется

Хранимая XSS возникает, когда приложение принимает ввод пользователя, сохраняет его на сервере и позже отображает этот контент на веб-странице без надлежащего кодирования или очистки. Когда контент выполняется в привилегированном контексте (например, в панели управления администратора WordPress), последствия усиливаются:

• JavaScript злоумышленника выполняется с теми же привилегиями, что и у администратора, просматривающего контент. Это может позволить:
  • Кражу аутентификационных куки или токенов сеанса (что приводит к захвату учетной записи).
  • Выполнение административных действий (создание пользователей, изменение параметров, установка плагинов/тем) через DOM или поддельные запросы.
  • Развертывание постоянных бэкдоров или веб-оболочек.
  • Переход к другим атакам (фишинг, компрометация цепочки поставок или злоупотребление хостингом).
• Даже если злоумышленник не может напрямую сохранить полезную нагрузку (поскольку только администраторы могут изменять настройки), техники социальной инженерии (вредоносный контент, замаскированный под обновления плагинов, или обман администратора для вставки полезных нагрузок) или ранее скомпрометированные учетные данные могут сделать это реальным.
• Хранимый XSS в поле темы электронной почты или уведомления может повлиять как на интерфейс администратора, так и на почтовые клиенты, если контент повторно используется без очистки.

Таким образом, хотя необходимый уровень привилегий для уязвимости — “Администратор”, сочетание эксплуатируемого хранимого XSS и реальных условий (скомпрометированные учетные данные, ошибка инсайдера или обманутый администратор) делает необходимым для владельцев сайтов действовать быстро.

---

Как работает уязвимость (общее, неэксплуатируемое объяснение)

• Плагин открывает настройку с меткой “Тема почты пользователя” (строка темы, используемая для писем новым пользователям).
• Ввод из этой настройки не был должным образом очищен или закодирован при сохранении или отображении.
• Вредоносный JavaScript, включенный в это поле, сохраняется в базе данных.
• Когда сохраненное значение отображается на экране администратора (или, возможно, в предварительных просмотрах электронной почты или на других страницах), JavaScript выполняется в браузере администратора, который его просматривает.
• При выполнении в контексте браузера администратора скрипт может взаимодействовать с конечными точками администратора WordPress, читать токены CSRF (при некоторых конфигурациях) или выполнять действия от имени администратора.

Мы не будем публиковать код эксплуатации здесь, но это основной поток.

---

Кто пострадал?

• Любой сайт WordPress, работающий с версией плагина Custom New User Notification 1.2.0 или ранее.
• Непосредственное требование для эксплуатации — это злоумышленник, способный сохранить JavaScript в настройке темы почты пользователя плагина. Плагин требует административных прав для редактирования настроек плагина, поэтому эксплуатация требует либо:
  • Злоумышленник уже имеет административный доступ (скомпрометированная учетная запись или вредоносный инсайдер), или
  • Администратор обманут, чтобы вставить или сохранить созданное значение (социальная инженерия), или
  • Другая уже существующая уязвимость позволяет злоумышленнику повысить привилегии или внедрить контент.

Даже когда эксплуатация требует повышенной учетной записи, результат (выполнение внутри браузера администратора) может привести к полной компрометации сайта.

---

Реалистичные сценарии атак

1. Злоумышленный администратор или скомпрометированная учетная запись администратора:
   • Злоумышленник с учетными данными администратора редактирует тему почты и вставляет полезную нагрузку; когда другой администратор или тот же администратор просматривает страницу плагина, полезная нагрузка выполняется и реализует постоянные или боковые атаки.
2. Социальная инженерия:
   • Разработчик или владелец сайта обманут, чтобы обновить настройки или вставить контент, полученный через чат/электронную почту под предлогом исправления чего-то. Созданная строка сохраняет полезную нагрузку.
3. Цепная атака:
   • Независимая уязвимость (например, небезопасная загрузка плагина, злоупотребление JSON-эндпоинтом или скомпрометированная учетная запись низкого уровня из-за плохой гигиены паролей) используется для внедрения полезной нагрузки в значение настроек плагина.
4. Повторное использование электронной почты или рендеринг шаблонов:
   • Если тема письма повторно используется или предварительно просматривается в админской области, или если какой-либо генератор предварительного просмотра электронной почты рендерит тему без санитарной обработки, полезная нагрузка может выполниться в контекстах, выходящих за пределы страницы настроек плагина.

---

Влияние — что может пойти не так

• Полный захват административной учетной записи, если полезная нагрузка крадет куки или выполняет действия, используя сессию администратора.
• Установка вредоносных плагинов/тем или изменение настроек ядра/плагина.
• Порча контента, перенаправление посетителей или внедрение постоянного вредоносного ПО на страницы и посты.
• Экстракция данных (списки пользователей, данные частного сайта) и компрометация подключенных сервисов.
• Долгосрочная устойчивость через бэкдоры или запланированные задачи.

Даже если непосредственное влияние кажется ограниченным, сохраненный XSS имеет высокую ценность для злоумышленников из-за постоянного и доверенного контекста, который он предоставляет.

---

Немедленные меры по смягчению (поэтапно, по приоритету)

Если вы управляете сайтом, который использует этот плагин, отнеситесь к этому как к срочному. Следуйте этим приоритетным шагам:

1. Инвентаризация и оценка
   • Определите сайты WordPress, использующие плагин.
   • Подтвердите версию плагина. В wp-admin перейдите в Плагины → Установленные плагины и проверьте версию. Или выполните WP‑CLI: список плагинов wp
   • Если вы не можете безопасно получить доступ к админской панели, координируйте действия с вашим хостинг-провайдером или разработчиком.
2. Обновите плагин (если доступен патч)
   • Если автор плагина выпустит исправленную версию, примените ее немедленно на всех затронутых сайтах.
   • Если возможно, сначала протестируйте на тестовом окружении.
3. Если патч недоступен, отключите или удалите плагин
   • Из wp-admin: Плагины → Деактивировать → Удалить.
   • Из WP‑CLI: wp плагин деактивировать custom-new-user-notification && wp плагин удалить custom-new-user-notification
   • Если вы должны сохранить его функциональность, рассмотрите возможность замены плагина на альтернативу (убедитесь, что альтернатива поддерживается и безопасна).
4. Проверьте и очистите сохраненные настройки
   • Проверьте базу данных на наличие небезопасных значений в параметрах плагина. Плагин, вероятно, хранит настройки в wp_options или как параметры плагина под option_name, подобным custom_new_user_notification_options — ищите в БД вероятные ключи.
   • Запустите запросы для поиска тегов скриптов или подозрительного HTML:
     • Пример (сначала создайте резервную копию БД!):

       SELECT option_name, option_value FROM wp_options WHERE option_value LIKE '%<script%' OR option_value LIKE '%javascript:%';
                 

   • Если вы найдете теги скриптов или подозрительное содержимое, связанное с темой письма, удалите или очистите эти записи.
   • Для безопасности установите тему письма на простую, фиксированную строку с помощью интерфейса администратора WP или через WP‑CLI:

     wp option update  "Уведомление о новом пользователе от моего сайта"

5. Укрепить доступ администратора
   • Обеспечьте использование сильных уникальных паролей и немедленную ротацию для учетных записей администраторов.
   • Включите двухфакторную аутентификацию (2FA) для всех учетных записей администраторов.
   • Ограничьте доступ администраторов по IP или используйте белый список, если это целесообразно.
   • Проверьте активные сессии и вошедших пользователей; выйдите и повторно аутентифицируйте всех администраторов, если есть подозрения на компрометацию.
6. Применить WAF/виртуальный патч
   • Разверните или включите правило веб-аппликационного межсетевого экрана, которое блокирует шаблоны полезной нагрузки против конечной точки настроек плагина и полей редактирования темы письма (см. руководство WAF ниже).
   • WAF может обеспечить немедленное смягчение до тех пор, пока вы не обновите или не удалите плагин.
7. Мониторинг и расследование
   • Проверьте журналы сервера и приложения на наличие POST-запросов к конечным точкам настроек плагина и подозрительной активности администраторов.
   • Ищите новые учетные записи администраторов, измененные параметры или неожиданные файлы на диске.
   • Запустите сканирование на наличие вредоносного ПО по файлам и базе данных.
8. Если вы подозреваете компрометацию, следуйте процедуре реагирования на инциденты.
   • Изолируйте сайт (при необходимости отключите публичный доступ).
   • Сохраните логи и сделайте полный резервный копию файлов и БД для судебно-медицинского анализа.
   • Поменяйте все учетные данные (пользователи WP, база данных, хостинг, ключи API).
   • Восстановите из известной хорошей резервной копии, если это необходимо, после того как убедитесь, что уязвимость устранена.

---

Как определить, была ли ваша сайт скомпрометирована.

• Проверьте базу данных на наличие тегов скриптов или закодированных полезных нагрузок в параметрах и содержимом постов:

  ВЫБРАТЬ * ИЗ wp_options ГДЕ option_value ПОДОБЕН '%<script%' ИЛИ option_value ПОДОБЕН '%onerror=%' ИЛИ option_value ПОДОБЕН '%javascript:%';

• Проверьте параметры, специфичные для плагинов, на наличие сохраненного значения темы письма. Если оно содержит HTML или <script> теги, это тревожный сигнал.
• Проверьте активность администратора:
  • wp-admin → Пользователи → проверьте наличие неизвестных администраторов.
  • wp-admin → Плагины → недавно установленные или обновленные плагины.
• Логи сервера:
  • Ищите POST-запросы к URL-адресам настроек плагинов (например, запросы admin-post.php или конечные точки параметров плагина) от подозрительных IP-адресов или в странное время.
• Файловая система и время безотказной работы:
  • Ищите добавленные файлы в wp-content/uploads, wp-content/plugins или корневых каталогах, которые вы не узнаете.
• Исходящий трафик:
  • Мониторьте неожиданные исходящие соединения с сервера (признаки эксфильтрации данных).
• Шаблоны электронной почты:
  • Если вы отправляете предварительные просмотры или тестовые письма, проверьте исходный код электронной почты на наличие внедренного контента.

Если вы подтвердите выполнение или компрометацию, предположите полную компрометацию и продолжайте с реагированием на инциденты (изолируйте, сохраняйте доказательства, очищайте и восстанавливайте).

---

Как WP‑Firewall помогает (что мы делаем и как это смягчает эту уязвимость).

В качестве команды безопасности WP‑Firewall мы сосредотачиваемся на снижении рисков с помощью многослойной защиты. Для этой XSS у уведомления о новом пользователе, вот как управляемый WAF и платформа WP‑Firewall могут помочь:

• Виртуальное исправление: Наш WAF может применять правила, нацеленные на сигнатуру уязвимости (блокируя полезные нагрузки, содержащие теги скриптов или подозрительные шаблоны в полях POST настроек), так что вы защищены немедленно — даже до того, как будет доступно официальное обновление плагина.
• Защита администратора по целевому назначению: Мы можем ограничить доступ к страницам настроек плагина, вводя дополнительные проверки или блокируя неожиданные POST-запросы к конкретным конечным точкам, используемым плагином.
• 10 лучших мер по смягчению последствий OWASP: Базовый (бесплатный) план уже защищает от многих распространенных атак инъекций, включая шаблоны XSS. Это уменьшает поверхность атаки.
• Сканирование на наличие вредоносных программ: Сканирования обнаруживают внедренные скрипты или подозрительные файлы, которые могли быть добавлены в результате успешной цепочки.
• Укрепление входа и защита аккаунта: Мы предлагаем функции, которые останавливают атаки методом подбора паролей и заполнения учетных данных, уменьшая вероятность того, что злоумышленник сможет получить доступ администратора, необходимый для размещения полезной нагрузки.
• Мониторинг и оповещения: Непрерывный мониторинг аномальной активности администратора и оповещение позволяют вам быстро реагировать, если будет обнаружено что-то подозрительное.
• Направленная ремедиация: Наша команда безопасности предоставляет практические советы по очистке затронутых настроек и укреплению сайта.

Если вы предпочитаете автоматическую немедленную защиту без ожидания обновлений плагина, развертывание управляемого правила WAF — самый быстрый и безопасный вариант.

---

Примеры правил и сигнатур WAF (однострочные примеры и шаблоны)

Ниже приведены высокоуровневые примеры, которые вы можете адаптировать к вашему файрволу. Не вставляйте код эксплуатации в производственные журналы; это защитные фильтры.

Примечание: настройте под вашу среду и протестируйте на тестовом сервере.

1. Блокировать POST-запросы к обработчику настроек плагина, содержащие теги скриптов
   • Правило псевдокода:
     • Если request_path содержит “admin.php” или “options.php” или конечную точку настроек плагина И request_body содержит “<script” ИЛИ “javascript:” ИЛИ “onerror=” ТОГДА блокировать запрос и записывать в журнал.
2. Блокировать HTML/скрипт в полях “subject”, предоставленных пользователем
   • Шаблон: Имя параметра запроса, которое соответствует возможным ключам темы письма (например, subject, user_mail_subject, custom_subject), должно проверяться на наличие общих шаблонов XSS и блокироваться, если обнаружено.
3. Ограничить скорость и укрепить POST-запросы администратора
   • Стратегия:
     • Ограничьте количество POST-запросов к admin-ajax.php, admin-post.php или конечным точкам параметров плагина с одного IP-адреса за короткий промежуток времени.
     • Блокируйте запросы, которые устанавливают подозрительные значения (например, содержащие символы “”) для полей, ожидающих простой текст.
4. Пример правила, похожего на ModSecurity (концептуально):

   SecRule REQUEST_URI "@contains custom-new-user-notification" "phase:2,deny,log,msg:'Block potential stored XSS attempt in Custom New User Notification',chain"
   SecRule ARGS_NAMES|ARGS "@rx (<|%3C).*script|onerror=|javascript:" "t:none,t:lowercase,deny,log"
     

   Важный: Тонкая настройка, чтобы избежать ложных срабатываний для законных случаев использования HTML. Предпочитайте блокировку тегов script в полях, которые должны содержать простой текст.

---

Практический контрольный список по устранению проблем (подробно)

1. Резервное копирование сейчас
   • Сделайте полную резервную копию файлов и базы данных для судебной экспертизы и восстановления.
2. Исправьте пути
   • Если обновление плагина выпущено, примените его немедленно. Протестируйте после исправления.
3. Удалите или замените плагин
   • Деактивируйте и удалите плагин, если своевременное исправление недоступно.
   • Рассмотрите хорошо поддерживаемую альтернативу или встроенные функции уведомлений пользователей WordPress.
4. Очистите данные
   • Проверьте wp_options и другие таблицы, связанные с плагином, на наличие подозрительных полезных нагрузок.
   • Замените параметры темы письма на очищенные строки простого текста.
5. Принудительная ротация учетных данных и сессий
   • Сбросьте пароли администраторов.
   • Аннулируйте все сессии (Пользователи → Все пользователи → завершить сессии или используйте плагин для выхода всех пользователей).
   • Переиздайте любые ключи API, используемые сайтом.
6. Улучшите гигиену администратора
   • Обеспечьте 2FA для всех учетных записей администраторов.
   • Ограничьте учетные записи администратора теми, кто в них нуждается.
   • Используйте принцип наименьших привилегий: предоставляйте пользователям только необходимые возможности.
7. Сканируйте на наличие вредоносных программ/задних дверей
   • Используйте сканер файлов, чтобы найти недавно измененные файлы и неожиданные добавления кода.
   • Если вы обнаружите задние двери, удалите их и повторно просканируйте.
8. Переоцените хостинг и резервные копии
   • Убедитесь, что резервные копии чистые и хранятся отдельно (вне сайта).
   • Подтвердите, что ваш хост знает и может помочь с судебными данными, если это необходимо.
9. Следите за повторением
   • Включите мониторинг журналов для изменений в настройках плагинов и для подозрительных POST-запросов администраторов.
   • Следите за исходящими соединениями и новыми запланированными задачами (cron hooks).
10. Документируйте и учитесь
    • Записывайте временные рамки обнаружения и устранения, чтобы улучшить будущие реакции.
    • Протестируйте свой план реагирования на инциденты в контролируемой среде.

---

Рекомендации по усилению безопасности для предотвращения этого класса уязвимостей

• Защита в глубину: комбинируйте управление патчами, защиту WAF и контроль доступа администраторов.
• Проверки на адекватность для вводимых данных администратора: рассматривайте все вводимые данные как враждебные, даже если они поступают от администраторов.
• Применяйте принцип наименьших привилегий: избегайте использования учетных записей администраторов для рутинных задач; создавайте роли только с необходимыми возможностями.
• Поддерживайте дисциплину плагинов:
  • Удаляйте плагины, которые вы не используете.
  • Держите плагины обновленными.
  • Устанавливайте только плагины из надежных и активно поддерживаемых источников.
• Централизованный мониторинг и ведение журналов для событий администраторов.
• Двухфакторная аутентификация и IP-белые списки для доступа к wp-admin.
• Регулярное автоматизированное сканирование на уязвимости и вредоносное ПО.

---

Если вы не можете немедленно обновить: шаблон экстренной санации базы данных

Если вы не можете отключить сайт или немедленно удалить плагин, эти временные шаги могут смягчить хранимые нагрузки:

1. Экспортируйте подозрительную опцию (резервная копия БД)
2. Используйте запрос UPDATE для очистки значения:
   • Пример (замените option_name на реальный ключ и сначала протестируйте на staging):

     UPDATE wp_options SET option_value = REPLACE(option_value, '<script', '<script') WHERE option_name = 'custom_new_user_notification_options';
           

   • Или установите тему на безопасное простое значение:

     UPDATE wp_options SET option_value = 'Новая учетная запись пользователя на {site_name}' WHERE option_name = 'custom_new_user_notification_subject_key';
           

3. После очистки примените правило WAF для блокировки будущих попыток установить значения, похожие на скрипты.

Предостережение: Это временная мера. Необходимы правильные патчи или удаление.

---

После инцидента: проверка восстановления

• Подтвердите, что настройки плагина больше не содержат скриптов или подозрительных полезных нагрузок.
• Повторно просканируйте файлы и БД на наличие других случаев внедренного контента.
• Подтвердите, что не существует несанкционированных учетных записей администраторов или новых запланированных задач.
• Мониторьте журналы на предмет попыток повторного внедрения полезных нагрузок.
• Если сайт был скомпрометирован, рассмотрите возможность полной перестройки из известной хорошей резервной копии и смените все учетные данные.

---

Часто задаваемые вопросы

В: Уязвимость требует администратора — значит, я в безопасности?
О: Не обязательно. Если ваши учетные записи администратора надежны и защищены (уникальные пароли и 2FA), немедленный риск ниже. Но украденные учетные данные, социальная инженерия или цепные уязвимости все еще могут позволить эксплуатацию. Относитесь к этому серьезно и применяйте соответствующие меры.

В: Могу ли я просто вручную изменить тему письма и оставить установленным плагин?
О: Изменение темы письма для удаления любой полезной нагрузки помогает, но если плагин позволяет необработанный HTML и не очищает при сохранении или отображении, злоумышленник может повторно вставить полезную нагрузку, если он снова получит доступ. Удаление или патчинг плагина — более безопасный вариант.

В: Выполняют ли почтовые клиенты JavaScript в темах?
О: Большинство почтовых клиентов не выполняют JavaScript в строках тем. Больший риск заключается в выполнении в интерфейсе администратора или других отображаемых контекстах, где сохраненная тема отображается без кодирования.

В: Как быстро WAF может это заблокировать?
О: Правильно настроенное правило WAF может заблокировать злонамеренные попытки за считанные минуты, обеспечивая важную защиту, пока вы не сможете применить постоянное решение.

---

Как мы рекомендуем вам действовать сейчас (резюме действий)

1. Проверьте затронутые сайты.
2. Сделайте резервную копию немедленно.
3. Обновите плагин, если существует патч.
4. Если нет, деактивируйте/удалите плагин.
5. Проверьте и очистите сохраненные настройки плагина в базе данных.
6. Разверните правила WAF/виртуальные патчи для блокировки скриптовых значений на конечных точках плагина.
7. Укрепите учетные записи администраторов (пароли, 2FA, аннулирование сессий).
8. Просканируйте файлы и БД на наличие других признаков компрометации.
9. Мониторьте журналы на предмет попыток и подозрительной активности.
10. Если компрометация подтверждена, следуйте полному реагированию на инциденты и рассмотрите возможность восстановления из чистой резервной копии.

---

Защитите свой сайт сейчас — попробуйте WP‑Firewall Free

Заголовок: Защитите свой WordPress Admin сегодня — начните с WP‑Firewall Free

Если вам нужна немедленная, управляемая защита, пока вы устраняете проблему, подпишитесь на план WP‑Firewall Basic (бесплатный). Он включает в себя основные средства защиты: управляемый брандмауэр, WAF, настроенный против векторов OWASP Top 10, неограниченную пропускную способность и автоматизированный сканер вредоносного ПО. Это может обеспечить виртуальное патчирование и блокировку шаблонов полезной нагрузки XSS и укрепление конечных точек администратора, пока вы удаляете или обновляете уязвимый плагин.

Зарегистрируйтесь здесь: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Если вам нужно автоматическое удаление, виртуальное патчирование на многих сайтах или специализированный рабочий процесс безопасности, рассмотрите возможность обновления до Standard или Pro для таких функций, как автоматическое удаление вредоносного ПО, белый/черный список IP-адресов, ежемесячные отчеты о безопасности и автоматическое виртуальное патчирование.

---

Заключительные мысли

Хранимые уязвимости XSS, такие как эта, являются ценным напоминанием о том, что безопасность — это процесс, а не одноразовое действие. Даже если для эксплуатации требуются привилегии администратора, последствия могут быть серьезными и длительными. Лучший подход — многослойный: удалите или исправьте уязвимый компонент, очистите сохраненные данные, укрепите доступ и разверните способный WAF, который может виртуально патчировать и мониторить атаки в реальном времени.

Если вам нужна помощь в оценке уязвимости, развертывании временного виртуального патча или проведении восстановления и судебной экспертизы, наша команда WP‑Firewall может помочь. Начните с бесплатного плана для немедленной базовой защиты и увеличивайте в зависимости от ваших потребностей.

Берегите себя и действуйте сегодня.