655 dobësi në WordPress përfshijnë 21 probleme kritike
Sipas Wordfence Intelligence, raportimet e dobësive në WordPress arritën në 655 çështje në 406 plugin dhe 100 theme gjatë periudhës 5–11 tetor. Nga këto dobësi, 366 u shënuan si të korrigjuara me patch dhe 289 mbetën pa patch, duke e bërë të rëndësishëm për pronarët e faqeve, agjencitë dhe ekipet e IT-së inventarizimin e menjëhershëm të software të instaluar.
Ndarja sipas nivelit të rrezikshmërisë ishte 21 dobësi kritike, 249 me rrezikshmëri të lartë, 377 mesatare dhe tetë me rrezikshmëri të ulët. Rrezikshmëria u mat me CVSS, Common Vulnerability Scoring System që përdoret për të vlerësuar ndikimin e mundshëm të një problemi sigurie. Wordfence ua atribuoi raportimet gjatë javës 236 studiuesve të sigurisë dhe tha se databaza e saj përmban më shumë se 40,000 dobësi të WordPress. Ndërfaqja e databazës, application programming interface dhe integrimi webhook, i cili mund të dërgojë automatikisht record të reja në një sistem tjetër, ofrohen pa pagesë për përdorim personal dhe komercial.
Dobësia më e zakonshme ishte cross-site scripting, ose XSS, që mund të bëjë një faqe të cenueshme të ekzekutojë kod shfletuesi të dhënë nga sulmuesi, me 198 raste. Missing authorization përbënte 112 raste, ndërsa unsafe deserialization, ku të dhënat e ruajtura që nuk janë të besueshme rindërtohen në mënyrë të rrezikshme, përbënte 67 raste. Kishte gjithashtu 61 dobësi SQL injection, të cilat lejojnë që input-i keqdashës të ndërhyjë në komandat e databazës, dhe 45 raste të sensitive information exposure. Kategoritë e tjera ishin improper privilege management, 30; PHP remote file inclusion, 24; authorization bypass through a user-controlled key, 21; dangerous file upload, 18; path traversal, 15; code injection, 11; improper authentication, nëntë; cross-site request forgery, tetë; client-side enforcement of server-side security, shtatë; incorrect authorization, gjashtë; server-side request forgery, pesë; missing authentication for a critical function, tre; uncontrolled resource consumption, tre; alternate-path authentication bypass, dy; protection mechanism failure, dy; si dhe tetë kategori me nga një rast secila, duke përfshirë race condition, externally accessible files, improper authorization, input validation failure, downstream injection, sensitive information in sent data, infinite loop dhe sensitive cached information.
Të 21 dobësitë kritike kishin rezultate CVSS prej 9.8 ose 9.1. Grupi me rezultat 9.8 që kishte marrë patch përfshinte 3D Product configurator for WooCommerce deri në versionin 2.16.2, CVE-2026-103889, me unauthenticated remote code execution, që do të thotë se një person i jashtëm mund ta detyronte potencialisht serverin të ekzekutonte udhëzime keqdashëse. Advanced IP Blocker deri në versionin 8.13.13, CVE-2026-104732, kishte një authentication bypass që përfshinte handler-in e tij të identifikimit me dy faktorë. Bricksforge deri në versionin 3.1.8.9, CVE-2026-85097, dhe Extensions For CF7 deri në versionin 3.4.5, CVE-2026-94589, kishin dobësi unauthenticated arbitrary file-upload. SiteVault deri në versionin 1.5.19, CVE-2026-42696, kishte remote code execution; SMS Alert deri në versionin 4.0.0, CVE-2026-94256, lejonte account takeover; ndërsa WPCOM Member deri në versionin 1.7.27, CVE-2026-104803, kishte një social-login authentication bypass.
Tetë dobësi me vlerësim 9.8 u renditën si pa patch. Ato prekën Anton Extensions deri në versionin 1.2.2, CVE-2026-104028; theme Doctreat deri në versionin 1.7.0, CVE-2026-39770; Everest Backup deri në versionin 2.3.13, CVE-2026-39802; Freeton WP deri në versionin 1.0.0, CVE-2026-84737; Mindstien Quick Login deri në versionin 1.0, CVE-2026-84734; Tailored Tools deri në versionin 3.0.3, CVE-2026-62025; Tonda Membership deri në versionin 1.0.1, CVE-2026-62022; dhe Tourfic Pro deri në versionin 1.17.3, CVE-2026-39774. Dobësitë përfshinin file upload, remote code execution, account takeover dhe privilege escalation, ku një sulmues fiton leje që nuk duhet t’i ketë.
Gjashtë dobësitë kritike me rezultat 9.1 përfshinin katër çështje që kishin marrë patch: Avada (Fusion) Builder deri në versionin 3.16.1, CVE-2026-97670, lejonte veprime të paautentikuara në WordPress përmes një token-i dinamik formulari; Blocksy Companion deri në versionin 2.1.58, CVE-2026-107645, kishte privilege escalation përmes parametrit role; PPOM deri në versionin 34.0.10, CVE-2026-104801, lejonte fshirjen e skedarëve; rtMedia deri në versionin 4.7.13, CVE-2026-105892, gjithashtu lejonte fshirjen e skedarëve; dhe Super Forms deri në versionin 6.3.316, CVE-2026-17609, lejonte fshirjen e direktorive. Simple File List deri në versionin 6.3.11, CVE-2026-39792, u rendit si pa patch dhe lejonte fshirjen e paautentikuar të skedarëve.
Gjetjet me rrezikshmëri të lartë përfshinin gjithashtu disa dobësi që mund të shfrytëzoheshin nga përdorues të regjistruar me privilegje të ulëta. Shembujt me vlerësim 8.8 që kishin marrë patch prekën ACPT Premium deri në versionin 2.0.66, LatePoint deri në versionin 5.7.3, Creator LMS deri në versionin 1.2.21, FooSales deri në versionin 1.43.0, FV Player 8 deri në versionin 8.1.7, Groundhogg deri në versionin 4.9, LifterLMS deri në versionin 10.2.1 dhe Super Forms deri në versionin 6.3.316. Çështjet me vlerësim 8.8 pa patch prekën CodeBard Help Desk deri në versionin 1.1.2, Content Visibility for Divi Builder deri në versionin 5.03, Crowdfundly deri në versionin 2.2.2, Taskbot deri në versionin 6.6, Veeqo for WooCommerce deri në versionin 2.2.8, Workreap Core deri në versionin 3.4.5 dhe WP Duplicate deri në versionin 1.1.11. Pasojat e tyre përfshinin remote code execution, file upload, privilege escalation dhe PHP object injection.
Një grup i konsiderueshëm dobësish me vlerësim 8.1 përfshinte unauthenticated local file inclusion ose PHP object injection në theme. Produktet e renditura si pa patch përfshinin Aalto deri në versionin 1.8, Alliance deri në versionin 3.11, Ambient deri në versionin 1.7, Anesta deri në versionin 1.5.3, Armania deri në versionin 1.4.8, Asia Garden deri në versionin 1.3.1, Avala deri në versionin 1.1.4, Backhoe deri në versionin 2.0, Balance deri në versionin 1.12.0, Biolife deri në versionin 3.2.3, Booklovers deri në versionin 2.13.0, Boutique deri në versionin 2.3.3, Buzz Stone deri në versionin 1.0.2, Camelia deri në versionin 1.2.15, Cardea deri në versionin 2.3, CleanSkin deri në versionin 1.5.0, Convex deri në versionin 1.16.0, Drone Media deri në versionin 2.2.0, Duka Market deri në versionin 1.3.0, Dwell deri në versionin 1.16.0, Edema deri në versionin 1.2.2.2, Education Center deri në versionin 3.6.12 dhe Equadio deri në versionin 1.1.4. DirectoryPress deri në versionin 3.6.27 ishte gjithashtu pa patch. Shembujt me vlerësim 8.1 që kishin marrë patch përfshinin Advanced Form Integration deri në versionin 2.9.0, AFFI deri në versionin 1.0.10 dhe Booster for WooCommerce deri në versionin 8.4.0.
Wordfence vendosi gjithashtu rregulla firewall për stored XSS në WordPress Core 7.1 deri në 7.1.2, që lidhej me komentet në pritje, dhe për unauthenticated SQL injection në Abandoned Cart Pro for WooCommerce deri në versionin 10.8.0, që lidhej me meta_value të persistent-cart të vizitorit. Përdoruesit Premium, Care dhe Response i morën menjëherë këto rregulla, ndërsa versioni falas ishte planifikuar t’i merrte pas një vonese prej 30 ditësh. Wordfence tha se faqet që përdorin plugin e saj me skanimin të aktivizuar duhet të kenë marrë një paralajmërim kur u zbulua software i prekur.
Pronarët e faqeve duhet t’i përditësojnë menjëherë produktet që kanë marrë patch dhe të çaktivizojnë ose heqin një plugin apo theme të prekur kur nuk ka patch, veçanërisht për dobësitë e paautentikuara që nuk kërkojnë një llogari. Përpara se të bëni ndryshime, krijoni një backup të testuar dhe konfirmoni se rikuperimi funksionon. Për organizatat që parapëlqejnë të mos e menaxhojnë vetë këtë punë, AEU Hosting ofron managed WordPress hosting të siguruar nga fillimi në fund, çka është drejtpërdrejt e rëndësishme kur mirëmbahet një instalim WordPress ku siguria është kritike.