Cenueshmëritë e WordPress përfshijnë një zinxhir kritik RCE në Core
Cenueshmëritë e WordPress të dorëzuara në Wordfence Bug Bounty Program arritën në 1,077 në korrik 2026, 1.0% më shumë se muajin e mëparshëm. Wordfence thotë se ekipi i tij Threat Intelligence shqyrton dhe verifikon raportet, bashkërendon publikimin me shitësit e prekur, verifikon patches dhe krijon mbrojtje firewall kur është e përshtatshme. Shitësit mund t’i menaxhojnë raportet përmes Vulnerability Management Portal, i cili ofrohet falas. Një bug bounty program i paguan studiuesit e sigurisë për raportimin me përgjegjësi të dobësive, në mënyrë që zhvilluesit t’i rregullojnë përpara se sulmuesit t’i shfrytëzojnë.
Programi kishte 281 studiues aktivë, 8.2% më pak krahasuar me muajin e mëparshëm. Raportet përfshinin 84 gjetje me kërcënim të lartë, një rritje prej 44.8%, dhe 73 të klasifikuara si të zakonshme dhe të rrezikshme, 62.2% më shumë. Wordfence publikoi 15 rregulla për web application firewall, 114.3% më shumë. Një web application firewall, ose WAF, shqyrton kërkesat e faqes së internetit dhe bllokon trafikun që përputhet me modelet e njohura të sulmeve. Wordfence i përkufizon gjetjet me kërcënim të lartë si probleme të tilla si arbitrary file upload ose remote code execution, të cilat mund të shfrytëzohen nga një sulmues unauthenticated ose me privilegje të ulëta në software me të paktën 25 instalime aktive. Kategoria e tij e problemeve të zakonshme dhe të rrezikshme përfshin stored cross-site scripting dhe SQL injection në kushte të ngjashme aksesi, në software me të paktën 500 instalime.
Nga dorëzimet e muajit, 243 u pranuan si brenda fushës së programit, 17 ishin jashtë fushës së tij, 610 u refuzuan dhe 207 ishin dublikate. Wordfence dha $51,183 në shpërblime, me një mesatare prej $210.63 për çdo raport të verifikuar dhe brenda fushës së programit. Shpërblimi më i lartë individual ishte $15,600. Wordfence thotë se klientët Premium, Care dhe Response marrin në kohë reale mbrojtjen përkatëse firewall, ndërsa rregullat u vihen në dispozicion përdoruesve falas pas 30 ditësh.
Shpërblimi më i madh lidhej me Elementor Pro deri në versionin 4.2.1, ku një sulmues unauthenticated mund të anashkalonte kontrollin e array të upload-field dhe të ngarkonte një arbitrary file. Software i prekur ishte renditur me 5,000,000 instalime. Forminator Forms deri në versionin 1.56.1 mori një shpërblim prej $2,048 për një unauthenticated arbitrary file upload që përdorte një konfigurim të falsifikuar të upload-field, me 600,000 instalime. User Profile Builder deri në versionin 3.16.4 kishte një unauthenticated authentication bypass që përfshinte type confusion në parametrin `username` dhe mund të çonte në marrjen nën kontroll të një llogarie administratori; shpërblimi ishte $975 dhe numri i listuar i instalimeve ishte 40,000. Independent Analytics deri në versionin 2.15.0 mori një shpërblim prej $804 për unauthenticated stored cross-site scripting, duke prekur software të renditur me 100,000 instalime. Unlimited Elements For Elementor deri në versionin 2.0.16 mori $800 për unauthenticated SQL injection dhe ishte renditur me 300,000 instalime.
Stored cross-site scripting mundëson që një kod keqdashës të ruhet nga një faqe interneti dhe t’u dërgohet vizitorëve të mëvonshëm. SQL injection manipulon komandat e databazës së një faqeje përmes input të pasigurt. Ndër raportet e pranuara, kategoria më e zakonshme ishte CWE 79, trajtimi i papërshtatshëm i input gjatë gjenerimit të faqes, me 80 dorëzime, $13,415 shpërblime gjithsej dhe një mesatare prej $167.69. CWE 434, dangerous unrestricted file upload, kishte 18 raporte, por kryesoi shpërblimet totale me $21,909, me një mesatare prej $1,217.17. Dobësitë CWE 89 të lidhura me SQL kishin gjithashtu 18 raporte dhe morën $2,968. Kategoritë e tjera përfshinin improper privilege management me 16 raporte, pathname restriction flaws me 10, improper authentication me 11, user-controlled authorization bypass me nëntë, missing authorization me nëntë, unsafe code generation me tre dhe alternate-path authentication bypass me dy. Raporte të veçanta që përfshinin incorrect type conversion dhe deserialization of untrusted data morën përkatësisht $975 dhe $615.
Kërkesat e aksesit ndikuan ndjeshëm në rrezikun e raportuar. Wordfence renditi 163 cenueshmëri unauthenticated me një shpërblim mesatar prej $350.84, 60 dobësi të nivelit subscriber me mesatare $133.37, 14 gjetje unauthenticated që kërkonin ndërveprim me user interface me mesatare $74 dhe katër raste custom-access me mesatare $19.67. Edhe të dhënat e instalimeve ndryshonin shumë. Të 31 gjetjet në software të shpërndarë jashtë repository zyrtar kishin një rezultat mesatar CVSS prej 9.0 dhe një shpërblim mesatar prej $871.60. CVSS, Common Vulnerability Scoring System, vlerëson ashpërsinë teknike në një shkallë numerike. Të 81 gjetjet në software me 1,000 deri në 49,999 instalime kishin një mesatare prej 7.4 dhe $147.53, ndërsa 38 gjetjet në intervalin nga 100,000 deri në 999,999 kishin një mesatare prej 7.0 dhe $384.87. Vetëm një gjetje u shfaq në intervalin nga 1,000,000 deri në 4,999,999, me rezultat 7.2 dhe shpërblim prej $672.
Problemi më serioz në WordPress Core ishte zinxhiri wp2shell. Wordfence raportoi se versionet 6.9 deri në 7.0.1 të WordPress Core ishin të cenueshme ndaj remote code execution, ose RCE, përmes batch endpoint të REST API në `/wp-json/batch/v1`. RCE do të thotë se një sulmues mund ta bëjë serverin të ekzekutojë komanda ose kod pa qenë fizikisht i pranishëm. REST API është një interface që i lejon software të shkëmbejë kërkesa me WordPress. Një mospërputhje midis route validation dhe dispatch mund të lejonte që një sub-request i verifikuar të arrinte te një callback i paqëllimshëm, të anashkalonte kufizimin `allow_batch` dhe të shmangte input cleaning të route së synuar. Dobësia më pas mund të kombinohej me SQL injection për të ekzekutuar kod në server.
Ekipi WordPress Security publikoi versionet e korrigjuara 6.8.6, 6.9.5 dhe 7.0.2 më 17 korrik 2026. Shënimet e publikimit i klasifikuan dy dobësitë e përdorura në zinxhirin wp2shell si një problem kritik dhe një problem me ashpërsi të lartë. Për shkak të ashpërsisë, u aktivizuan përditësimet automatike të detyruara për versionet e prekura. Wordfence e përshkroi zinxhirin si RCE e parë kritike dhe unauthenticated në WordPress Core në afro një dekadë dhe ia atribuoi zbulimin dhe raportimin me përgjegjësi kompanive Assetnote dhe Searchlight Cyber.
Një rast tjetër preku Advanced Responsive Video Embedder for Rumble, Odysee, YouTube, Vimeo, Kick … në versionet 10.8.7 dhe 10.8.8. Wordfence PRISM identifikoi një hardcoded backdoor që mund t’i lejonte një sulmuesi unauthenticated të merrte kontrollin e një llogarie ekzistuese administratori të përzgjedhur. Funksioni `_arve_uc_init()` ekzekutohej në çdo kërkesë përpara kontrolleve të authentication, pranonte një token përmes parametrit `_wplogin` ose `_wpm` dhe e krahasonte atë me një SHA-256 hash të integruar në plugin. Procesi nuk kishte nonce verification, capability check ose password validation. Nonce është një vlerë me një përdorim, e destinuar të provojë se një kërkesë ka ardhur nga faqja ose session i pritur. Për shkak se credential universal ishte i ekspozuar në kodin e plugin, kushdo që e dinte token mund ta përdorte. Wordfence tha se backdoor ka të ngjarë të jetë futur pasi një sulmues fitoi commit access në llogarinë e zhvilluesit, por e paraqiti këtë prejardhje si mundësi të mundshme dhe jo si fakt të konfirmuar.
Gjatë periudhës së raportimit nuk kishte promocione shpërblimesh dhe asnjë studiues nuk përparoi në nivelet Elite ose Resourceful. Për pronarët e faqeve, mësimi praktik është që të instalojnë pa vonesë publikimet e sigurisë të WordPress, të përditësojnë ose çaktivizojnë plugins e prekura dhe të mbajnë backups që mund të rikthehen përpara se të bëjnë ndryshime.