С чем обратился клиент
Клиент принимал скриншоты кабинета и документы через форму.
Что обнаружилось при проверке
Плагин использовал медиабиблиотеку, оригинальное имя и публичный permalink; объектные права не проверялись.
Почему это важно
Конфиденциальный файл может попасть в индекс, логи, резервные копии сторонних сервисов или быть угадан по имени.
Что нужно сделать
Перенести хранение вне web-root, использовать случайные имена, MIME/size policy, контроллер скачивания, audit и retention.
Как проверить результат
Прямой URL возвращает отказ; авторизованный пользователь с правом к конкретной заявке скачивает файл; чужая роль — нет.
Ориентир стоимости
Ориентир: 10 000–22 000 ₽.
CTA
Узнали похожую ситуацию? Пришлите ссылку на сайт и опишите, где проявляется проблема. Сначала проверим публичную часть и объясним следующий шаг без запроса постоянных паролей.