362 Dobësi të Shtojcave të WordPress u Publikuan Javën e Kaluar
Raporti javor i dobësive të Wordfence për 14 deri më 20 shtator 2026 katalogoi 362 dobësi të reja në 247 shtojca të WordPress dhe 4 tema të WordPress, me 45 nga ato çështje ende të papatchuara në momentin e publikimit. Të dhënat vijnë nga Baza e të Dhënave e Dobësive të Wordfence Intelligence, e cila tani përmban më shumë se 40,000 dobësi të WordPress dhe është e aksesueshme lirisht përmes një ndërfaqeje përdoruesi, një API dhe një integrimi webhook. Kompania deklaron se pronarët e faqeve, ndërmarrjet, ofruesit e hostimit dhe individët mund t'i përdorin këto mjete për të ndërtuar siguri me shtresa, dhe se misioni është të bëjë informacionin e dobësive të disponueshëm për të gjithë.
Raporti ndan ashpërsinë sipas rezultatit CVSS, një vlerësim standard nga 0 në 10 ku numrat më të lartë nënkuptojnë rrezik më të madh. Shtesat e javës së kaluar përfshinin 18 dobësi kritike, 74 me ashpërsi të lartë, 266 me ashpërsi mesatare dhe 4 me ashpërsi të ulët. Lloji më i zakonshëm i dobësisë, siç klasifikohet nga CWE (Common Weakness Enumeration), ishte cross-site scripting (XSS) me 94 raste, pasuar nga mungesa e autorizimit me 69, injektimi SQL me 35, anashkalimi i autorizimit përmes çelësave të kontrolluar nga përdoruesi me 27, dhe ekspozimi i informacionit të ndjeshëm me 27. Lloje të tjera të dukshme përfshinin injektimin e kodit, ngarkimin e pakufizuar të skedarëve, falsifikimin e kërkesës ndër-site (CSRF), përshkimin e shtegut, falsifikimin e kërkesës nga ana e serverit (SSRF) dhe autentikimin e papërshtatshëm.
Një artikull i rëndësishëm është një rregull i ri i murit të zjarrit, WAF-RULE-957, i vendosur nga Ekipi i Inteligjencës së Kërcënimeve të Wordfence për të mbrojtur kundër një dobësie të ruajtur të cross-site scripting të paautentifikuar në Bërthamën e WordPress deri në versionin 7.1, lidhur me mënyrën se si funksioni wpautop() trajton blockquotes. wpautop është një funksion i WordPress që shton automatikisht etiketa paragrafi dhe ndërprerje rreshti në përmbajtje. Wordfence thotë se rregulli u vendos menjëherë për klientët Premium, Care dhe Response, ndërsa përdoruesit e shtojcës falas Wordfence do të marrin mbrojtjen e përmirësuar pas një vonese prej 30 ditësh. Detajet e dobësisë janë redaktuar ndërsa Wordfence punon me shitësin për një patch, që është një praktikë e zakonshme për të parandaluar sulmuesit që të shfrytëzojnë një të metë të papatchuar.
Në total, 186 studiues të dobësive kontribuan në sigurinë e WordPress javën e kaluar. Raportuesit më aktivë përfshinin Wordfence PRISM me 25 dobësi, Karthik Ramakrishnan me 17, Ananda Dhakal me 13, Artus KG me 12, dhe tre studiues me nga 11 secili: Pablo González Pérez, Francisco José Ramírez Vicente dhe Iñigo Sánchez Enciso. Shumë studiues të tjerë dorëzuan nga një deri në dhjetë gjetje. Wordfence gjithashtu drejton një program shpërblimi për defekte ku zbulimi i përgjegjshëm i dobësive brenda fushëveprimit mund të fitojë një shpërblim dhe të bëjë që studiuesi të përmendet në raportin javor.
Raporti liston një numër të madh shtojcash të prekura, duke përfshirë emra të përdorur gjerësisht si All-in-One WP Migration and Backup, LiteSpeed Cache, shtesa të Elementor (Element Pack, Master Addons, JetElements), GiveWP, Booking Calendar, Forminator, Mailchimp për WooCommerce, Popup Maker, Redux Framework dhe shumë të tjera. Për shkak se 317 dobësi u patchuan por 45 mbeten të papatchuara, pronarët e faqeve duhet të kontrollojnë nëse ndonjë shtojcë ose temë që ata përdorin shfaqet në listë dhe të aplikojnë përditësime ose zbutje të përkohshme. Wordfence këshillon rishikimin e listës së plotë në bazën e të dhënave të tij.
Për një pronar faqeje, ky raport javor është një kujtesë se mbajtja e WordPress të sigurt kërkon vëmendje të vazhdueshme. Hostimi i menaxhuar i WordPress si AEU Hosting mund të zvogëlojë barrën duke ofruar forcim sigurie, kopje rezervë automatike dhe mbështetje ekspertësh për të ndihmuar në aplikimin e patch-eve para se sulmuesit të shfrytëzojnë një të metë të publikuar.