497 dobësi të WordPress prekin shtojcat dhe temat
Dobësitë e WordPress të publikuara midis 12 dhe 18 tetorit 2026 prekën 327 shtojca dhe 23 tema, sipas shtesave të bëra në Wordfence Intelligence Vulnerability Database. Wordfence regjistroi gjithsej 497 dobësi, nga të cilat 428 u shënuan si të korrigjuara me patch dhe 69 mbetën pa patch. Publikimet përfshinë kontribute nga 218 studiues të sigurisë, duke përfshirë 40 dobësi që iu atribuuan Wordfence PRISM.
Ndarja sipas shkallës së rrezikshmërisë u jep pronarëve të faqeve një arsye të qartë për ta kontrolluar menjëherë software-in e instaluar. Wordfence klasifikoi 23 dobësi si kritike, 153 si me rrezikshmëri të lartë, 315 si me rrezikshmëri mesatare dhe gjashtë si me rrezikshmëri të ulët. Këto vlerësime përdorin CVSS, Common Vulnerability Scoring System, i cili mat seriozitetin e një dobësie sigurie në një shkallë që arrin deri në 10. Raporti e regjistron grupin më të rëndë me rezultate 9.8 ose 9.1 dhe shumë prej tyre mund të sulmoheshin pa qenë e nevojshme që ndërhyrësi të identifikohej fillimisht.
Kategoria më e madhe ishte cross-site scripting, ku input-i i pasigurt mund ta bëjë një faqe të ekzekutojë kod të padëshiruar në browser, me 159 dobësi. Wordfence numëroi gjithashtu 116 dobësi missing authorization, 34 probleme SQL injection që mund t’i lejonin input-it keqdashës të manipulonte query-t e bazës së të dhënave, 33 raste deserialization of untrusted data, 31 raste sensitive-information exposure, 22 dobësi improper privilege management, 20 raste authorization bypass përmes key të kontrolluara nga përdoruesi dhe 15 dobësi code injection. Kategoritë e tjera përfshinin 11 raste të rrezikshme file upload, 10 dobësi path traversal, tetë raste dështimi për të verifikuar autenticitetin e të dhënave, shtatë probleme cross-site request forgery, gjashtë dobësi authentication, pesë raste PHP remote file inclusion, katër dështime client-side enforcement, tri dobësi incorrect authorization dhe tri probleme server-side request forgery. Regjistrimet e mbetura përfshinin improper input validation, open redirect, një race condition, kod keqdashës të integruar, improper access control, downstream injection, command injection dhe vlera që nuk ishin mjaftueshëm të rastësishme.
Ndër dobësitë me vlerësim 9.8, tri mbetën pa patch në kohën e regjistrimit. AGE-GATE 1.0 dhe versionet më të hershme kishin remote code execution pa authentication përmes PHP code injection në parametrat width ose height të skedarit të pavarur admin.php, e gjurmuar si CVE-2026-104800. JTL-Connector for WooCommerce 2.4.3 dhe versionet më të hershme kishin një dobësi file upload pa authentication në metodën image.push, CVE-2026-87855. Snazzy Social Media Feed 2.5 dhe versionet më të hershme kishin një problem file upload pa authentication përmes parametrit pluginURL, CVE-2026-110002. Remote code execution do të thotë se një sulmues mund ta bëjë faqen të ekzekutojë komanda ose kod të zgjedhur nga sulmuesi. Pa authentication do të thotë se nuk kërkohet një llogari e vlefshme në faqen e internetit.
Wordfence i shënoi si të korrigjuara me patch problemet e tjera me vlerësim 9.8. Ato përfshinin arbitrary file upload në 10Web Booster deri në versionin 2.34.10, CVE-2026-108587; authentication bypass dhe SQL injection në Abandoned Cart Pro for WooCommerce deri në 10.8.0, CVE-2026-97657 dhe CVE-2026-97668; file upload përmes bashkëngjitjeve në ELEX WordPress HelpDesk deri në 3.3.7, CVE-2026-103768; dhe PHP object injection në LearnPress deri në 4.4.10, CVE-2026-104736. PHP object injection është rindërtimi i pasigurt i të dhënave të dhëna në objekte programi, i cili mund të bëhet i rrezikshëm kur në faqe është i pranishëm kodi i përshtatshëm.
Grupi i dobësive kritike të korrigjuara me patch përfshinte gjithashtu privilege escalation në MailOptin deri në 1.2.78.6, CVE-2026-109515; file upload në Mang Board 2.4.4, CVE-2026-109219; remote code execution në MDTF deri në 1.3.9, CVE-2026-108151; privilege escalation në My Calendar deri në 3.8.7, CVE-2026-104798; account takeover në OTP Login and Register Woocommerce deri në 2.7.2, CVE-2026-110135; dhe file upload që çonte në remote code execution në Printcart Store deri në 2.9.1, CVE-2026-93388. Privilege escalation i lejon një llogarie të marrë leje që nuk duhet t’i ketë.
Regjistrime të tjera me vlerësim 9.8 dhe të korrigjuara me patch ishin kodi keqdashës i integruar në Rank Math SEO PRO 3.0.123, CVE-2026-111862; privilege escalation përmes mass assignment në SimpleForm deri në 3.10.0, CVE-2026-104748; PHP object injection në Sunshine Photo Cart deri në 3.7.4, CVE-2026-104730; remote code execution në The Grid deri në 2.8.1, CVE-2026-94169; dhe privilege escalation në Theme My Login deri në 7.2.1, CVE-2026-89079.
Katër probleme të tjera kritike morën rezultate CVSS prej 9.1. Appointment Booking Plugin LatePoint deri në 5.7.4 kishte një authentication bypass të korrigjuar me patch, të shkaktuar nga një race condition në numëruesin e përpjekjeve për fjalëkalimin njëpërdorimësh, CVE-2026-110653. BuddyPress XProfile Custom Image Field deri në 3.1.0 kishte një dobësi arbitrary file deletion pa patch dhe pa authentication. Click to Chat deri në 4.44 kishte një dobësi shortcode execution të korrigjuar me patch, CVE-2026-92097, ndërsa File Upload to Order deri në 1.1.3 kishte një problem arbitrary file deletion të korrigjuar me patch, CVE-2026-107594.
Gjetjet me rrezikshmëri të lartë përfshinin remote code execution me authentication, file upload, account takeover, file deletion dhe command injection në shtojca të përdorura për përmbajtje affiliate, menaxhimin e klientëve, projektimin e email-eve, video, direktori, harta, sallone, albume fotografike dhe email SMTP. Wordfence raportoi gjithashtu një grup pa patch dobësish PHP object injection me vlerësim 8.1, që preknin temat Avventure, Bonbon, Coinpress, Edge Decor, EmojiNation, Filmax, Gamezone, Gamic, Good Homes, Gunslinger, Le Truffe, Legal Stone, Marcell, Meals and Wheels, Mission, Motorix, Muzicon, Nuts dhe Orpheus. Problemet pa patch me rrezikshmëri të lartë përfshinin gjithashtu arbitrary file reading në Contact Form 7 Signature Addon deri në 4.2.2, SQL injection në Gmedia Photo Gallery deri në 1.25.1 dhe një SQL injection më vete në JTL-Connector for WooCommerce deri në 2.4.3.
Wordfence tha se ekipi i tij i threat intelligence vendosi WAF-RULE-966 dhe WAF-RULE-967 ndërsa punonte me prodhuesit për patch-et, por nuk publikoi hollësitë e tyre teknike. Një WAF, ose web application firewall, filtron kërkesat e dëmshme në web përpara se ato të arrijnë te kodi i cenueshëm. Ai shtoi gjithashtu mbrojtje kundër PHP object injection në komente. Klientët Premium, Care dhe Response i morën rregullat menjëherë, ndërsa shtojca falas ishte planifikuar t’i merrte pas një vonese prej 30 ditësh. Mbrojtja me firewall zvogëlon ekspozimin, por nuk e zëvendëson instalimin e një patch-i nga prodhuesi ose heqjen e software-it të cenueshëm.
Baza e të dhënave të Wordfence përmban më shumë se 40,000 dobësi dhe mund të aksesohet përmes ndërfaqes së saj falas për përdoruesit, application programming interface dhe integrimit webhook. Një webhook dërgon automatikisht një njoftim kur ndodh një ngjarje në bazën e të dhënave. Wordfence tha se faqet që përdorin shtojcën e tij me skanimin të aktivizuar duhet të jenë njoftuar tashmë kur janë prekur, ndërsa webhook të Slack dhe HTTP mund të ofrojnë njoftime në kohë reale për regjistrime të reja ose të përditësuara.
Pronarët e faqeve duhet të krahasojnë çdo shtojcë dhe temë të instaluar me versionet e prekura, të përditësojnë produktet me patch dhe të çaktivizojnë komponentët pa patch derisa të bëhet i disponueshëm një version i sigurt.