Wordfence Bug Bounty i Qershorit: 1,066 Raporte, 42,553 Dollarë të Paguar
Në qershor 2026, Programi i Bug Bounty i Wordfence mori 1,066 raporte dobësish nga 306 studiues aktivë të sigurisë, një rritje prej 4.4% në numrin e studiuesve edhe pse totali i raporteve ra 2.6% nga maji. Programi pagoi 42,553 dollarë në shpërblime, me një mesatare prej 230.02 dollarë për raport të vlefshëm brenda fushëveprimit dhe një pagesë maksimale prej 5,200 dollarë. Nga raportet, 185 u konsideruan brenda fushëveprimit, 1 jashtë fushëveprimit, 578 u refuzuan dhe 302 ishin dublikatë. Ekipi i Inteligjencës së Kërcënimeve i Wordfence shqyrton çdo raport, koordinon zbulimin me shitësit e softuerit përmes një portali falas të menaxhimit të dobësive dhe publikon rregulla firewall-i kur është e përshtatshme.
Qëllimi i deklaruar i programit është të gjejë dhe rregullojë dobësi në shtojcat dhe temat e WordPress përpara se sulmuesit t'i shfrytëzojnë ato. Wordfence thotë se klientët Wordfence Premium, Care dhe Response marrin mbrojtje firewall në kohë reale kur publikohet një rregull i ri, ndërsa përdoruesit falas e marrin të njëjtin rregull pas 30 ditësh. Në qershor, u publikuan 7 rregulla të reja të web application firewall (WAF), një rritje prej 16.7% nga muaji i kaluar. Raporti i përkufizon dobësitë "kërcënim i lartë" si çështje që mund të çojnë në komprometim të plotë të faqes, si ngarkime arbitrare skedarësh ose ekzekutim kodi në distancë (RCE), që kërkojnë 25 ose më shumë instalime aktive dhe akses të paautentikuar ose të autentikuar në nivel të ulët. Çështjet "të zakonshme dhe të rrezikshme", duke përfshirë cross-site scripting (XSS) të ruajtur dhe SQL injection, duhet të prekin softuer me 500 ose më shumë instalime.
Pesë shpërblimet më të larta në qershor nxjerrin në pah të meta serioze të autentikimit dhe trajtimit të skedarëve. Shpërblimi më i madh prej 5,200 dollarë iu dha një studiuesi të quajtur vtim për një anashkalim autentikimi të paautentikuar në UpdraftPlus: WP Backup & Migration Plugin, që prek versionet deri në 1.26.4 në edicionin falas dhe nën 2.26.5 në premium, me një bazë instalimesh prej 4 milionë faqesh. Një shpërblim prej 2,048 dollarë mbuloi një ngritje privilegjesh të paautentikuar në JetFormBuilder versionet deri në 3.6.2 përmes parametrit `_jet_engine_booking_form_id`. Shtojcat Newfold morën 1,950 dollarë për një anashkalim autentikimi të shkaktuar nga sekrete boshe të bearer token, që prek rreth 100,000 instalime. WPMU DEV Dashboard versionet deri në 5.0.0 fitoi 1,122 dollarë për një anashkalim autentikimi që lejonte instalim arbitrar shtojcash (duke çuar në RCE) përmes një HMAC të falsifikuar në endpoint-in `?wpmudev-hub=`. WPForms Pro deri në versionin 1.10.1.1 u shpërblye me 975 dollarë për një shkrim arbitrar skedari të paautentikuar përmes renditjes së ngarkimit të copëzuar.
Në të gjitha raportet brenda fushëveprimit të qershorit, lloji më i zakonshëm i dobësisë ishte CWE-79: Cross-Site Scripting, me 60 raporte dhe 5,710 dollarë shpërblime totale (mesatarisht 95.17 dollarë). Path traversal (CWE-22) pasoi me 21 raporte dhe 2,488 dollarë, pastaj SQL injection (CWE-89) me 20 dhe 1,839 dollarë. Megjithatë, shpërblimet mesatare më të larta shkuan për verifikim të papërshtatshëm të nënshkrimeve kriptografike (CWE-347) me 5,362.50 dollarë për raport, dhe autentikim i papërshtatshëm (CWE-287) me 2,826 dollarë. Të ndara sipas nivelit të autentikimit, dobësitë e paautentikuara përbënin 89 nga raportet e vlefshme dhe fituan mesatarisht 359.80 dollarë, ndërsa defektet në nivel abonenti mesatarisht 89.36 dollarë, në nivel kontribuesi 49.73 dollarë dhe në nivel autori 18.83 dollarë. Një grup i vogël prej 10 skenarësh autentikimi "të personalizuar" mesatarisht 1,142.67 dollarë. Baza e instalimeve gjithashtu kishte rëndësi: dobësitë në shtojca me 1,000,000 deri në 4,999,999 instalime aktive paguanin mesatarisht 1,502.25 dollarë, ndërsa softueri jashtë repository-t (jo në repository-n zyrtar të WordPress) paguante 670.73 dollarë dhe kishte një rezultat mesatar të ashpërsisë CVSS prej 8.52.
Udhëheqësit e komunitetit të kërkimit për qershorin pasqyrojnë pika të forta të ndryshme. Sipas vëllimit të raporteve brenda fushëveprimit, daroo kryesoi me 9 raporte dhe një shpërblim mesatar prej 485.80 dollarë, i ndjekur nga Rafie Muhammad (8, 208.13 dollarë), CHOIGYEONGMIN (8, 21.63 dollarë), 0xd4rk5id3 (7, 188.57 dollarë) dhe Athiwat Tiprasaharn (Jitlada) (6, 14.17 dollarë). Pesë studiues arritën një rezultat mesatar perfekt CVSS prej 9.80: Khaled Alenazi (Nxploited) me 2 raporte, Hieus me 1, h0xilo me 1, vtim me 1 dhe Jiemook me 2. Të ardhurat totale u kryesuan nga vtim (5,200 dollarë), daroo (4,858 dollarë), d.v4n_s3c (2,038 dollarë), sorin vasile (1,950 dollarë) dhe Rafie Muhammad (1,665 dollarë). Asnjë studiues nuk avancoi në nivelet elite (1337) ose të shkathët në qershor, dhe asnjë promovim i bug bounty ose sfidë bonus nuk ishte aktive gjatë muajit.
Dobësitë më kritike të publikuara në qershor u shfrytëzuan në mënyrë aktive në natyrë. Everest Forms Pro versionet deri në 1.9.12 përmbanin një të metë të ekzekutimit të kodit në distancë të paautentikuar në funksionin `process_filter()` të Calculation Addon, i cili bashkonte vlerat e fushave të formularit të furnizuara nga përdoruesi në një varg kodi PHP të kaluar te `eval()` pa escape të duhur. Sulmuesit mund të injektonin kod arbitrar PHP duke dërguar një vlerë të manipuluar në çdo fushë formulari të tipit string, si tekst, email, URL, select ose radio, kur një formular përdorte veçorinë "Complex Calculation". Studiuesi h0xilo fitoi 325 dollarë për raportin. Burst Statistics – Privacy-Friendly WordPress Analytics versionet 3.4.0 deri në 3.4.1.1 lejonin anashkalim autentikimi dhe marrje të llogarisë së administratorit sepse funksioni `is_mainwp_authenticated()` trajtonte gabimisht fjalëkalimet e aplikacionit nga header-i Authorization. Një sulmues që dinte emrin e përdoruesit të një administratori mund të imitonte atë administrator për një kërkesë të vetme duke dërguar çdo fjalëkalim të rastësishëm. Wordfence PRISM e dorëzoi këtë raport. Kirki – Freeform Page Builder, Website Builder & Customizer versionet 6.0.0 deri në 6.0.6 pranonin një adresë email arbitrare gjatë kërkesave për rivendosje fjalëkalimi, duke i lejuar sulmuesit e paautentikuar të dërgonin lidhjen e rivendosjes së fjalëkalimit të çdo përdoruesi në inbox-in e tyre. Studiuesi CHOIGYEONGMIN mori 6,436 dollarë për atë raport. Anashkalimi i autentikimit në UpdraftPlus përmes mekanizmit UpdraftCentral `udrpc` ishte gjithashtu kritik, duke i lejuar sulmuesit e paautentikuar të anashkalonin plotësisht autentikimin në faqet me shtojcën e instaluar.
Për pronarët e faqeve, raporti i qershorit është një kujtesë se përditësimet e shtojcave nuk janë opsionale. Programi Wordfence ekziston për të rregulluar këto të meta dhe për të shtyrë mbrojtjen te firewall-i përpara zbulimit publik, por pronarët e faqeve ende duhet të aplikojnë versionet e rregulluara menjëherë. Për ata që preferojnë të mos menaxhojnë vetë përditësimet e shtojcave, firewalls dhe backup-et, një host i menaxhuar WordPress si AEU Hosting (albhosting.eu) automatizon forcimin e sigurisë, backup-et automatike, trajtimin e certifikatave SSL dhe akordimin e performancës, me mbështetje ekspertësh në thirrje për të ndihmuar në përgjigjen ndaj dobësive të tilla.