Pesë Dobësi në Plugin dhe Tema të WordPress Lejojnë Marrjen e Kontrollit të Faqes

Studiuesit e sigurisë kanë publikuar detaje për pesë dobësi kritike në plugin dhe tema të WordPress, që prekin WPMU DEV Dashboard, Avada, TranslatePress, Pods dhe GiveWP. Dobësitë, raportuar nga Wordfence dhe Patchstack, variojnë nga anashkalimi i autentikimit dhe rritja e privilegjeve deri në shkrim arbitrar skedarësh dhe ekzekutim komandash. Pronarët e faqeve që përdorin ndonjë nga këto produkte duhet të kontrollojnë menjëherë versionet e tyre dhe të presin arnimet nga zhvilluesit.

WPMU DEV Dashboard është prekur nga CVE-2026-76581, një dobësi e anashkalimit të autentikimit me një vlerësim CVSS prej 9.8, një vlerësim standard ashpërsie ku 9.8 nënkupton kritik. Një sulmues i paautentikuar mund të marrë akses administratori në faqet e lidhura me WPMU DEV që kanë aktivizuar Hub Single Sign-On (SSO) dhe të mapuara në një administrator. Dobësia prek të gjitha versionet deri dhe duke përfshirë 5.0.1.

Tema Avada mbart CVE-2026-18431, gjithashtu e vlerësuar 9.8. Kjo është një dobësi e shkrimit arbitrar të skedarëve që lejon një sulmues të paautentikuar të shkruajë skedarë të kontrolluar nga sulmuesi në server. Duke vepruar kështu, sulmuesi mund të krijojë dhe ekzekutojë skedarë PHP arbitrar, duke rezultuar në ekzekutim të kodit në distancë dhe kompromis të plotë të faqes. Problemi prek të gjitha versionet deri dhe duke përfshirë 7.16 kur plugin-i Fusion Builder është i instaluar dhe aktiv në versionet deri dhe duke përfshirë 3.16.

TranslatePress është prekur nga CVE-2026-19632, gjithashtu i vlerësuar 9.8. Kjo dobësi e ekspozimit të informacionit të ndjeshëm mund të lejojë një sulmues të paautentikuar të nxjerrë URL-në e papërpunuar të rivendosjes së fjalëkalimit të administratorit, duke përfshirë çelësin e rivendosjes në tekst të thjeshtë dhe parametrat e hyrjes. Me atë informacion, një sulmues mund të marrë kontrollin e një llogarie administratori. Dobësia prek të gjitha versionet deri dhe duke përfshirë 3.3.1 vetëm kur ruajtja automatike e vargjeve është e aktivizuar dhe lokalizimi i profilit të administratorit të synuar është vendosur në një gjuhë dytësore të publikuar.

Plugin-i Pods ka CVE-2026-19598, një dobësi e rritjes së privilegjeve e vlerësuar 9.8. Një sulmues i paautentikuar mund të rrisë privilegjet e tij në Administrator ose të mbishkruajë fjalëkalimin e çdo llogarie përdoruesi, duke përfshirë atë të pronarit të faqes, duke çuar në marrjen e plotë të kontrollit të faqes. Të gjitha versionet deri dhe duke përfshirë 3.3.9 janë të prekura.

GiveWP është prekur nga CVE-2026-82222 me vlerësimin më të lartë të mundshëm CVSS prej 10.0. Dobësia lejon një sulmues të ekzekutojë komanda arbitrare në serverin e një faqeje GiveWP që ka një formular donacioni të publikuar dhe një portë pagese aktive. Sipas Patchstack, dobësia zinxhiron një ndihmës të thyer të unserializimit të sigurt, një rrjedhë donacioni që ushqen atë ndihmës me të dhëna të kontrolluara nga sulmuesi, dhe një zinxhir gadget në kodin që GiveWP dërgon. Kjo tregon se si injektimi i objekteve PHP kthehet në ekzekutim kodi në distancë kur tre përbërës rreshtohen: një vend për të ruajtur një objekt të serializuar të kontrolluar nga sulmuesi, kod që më vonë e unserializon atë, dhe një zinxhir gadget në klasat e ngarkuara. Patchstack gjithashtu emëroi shkaqet e zakonshme rrënjësore: besimi në një sanitizues serializimi që në fakt nuk heq objektet, unserializimi i të dhënave të lexuara nga baza e të dhënave sikur të ishin të besueshme, dhe dërgimi i bibliotekave vetëm për zhvillim në prodhim ku ato ofrojnë zinxhirë gadget të gatshëm.

Këto dobësi janë serioze sepse mund t'i japin një të jashtmi të njëjtin kontroll si pronari i faqes. Një anashkalim autentikimi ose rritje privilegjesh do të thotë që dikush mund të hyjë si administrator pa fjalëkalim. Shkrimi arbitrar i skedarëve dhe ekzekutimi i komandave do të thotë që sulmuesi mund të ekzekutojë kodin e tij në serverin e hostimit, i cili mund të përdoret për të mbjellë malware, për të vjedhur të dhëna, ose për të përdorur serverin për sulme të mëtejshme. Për ofruesit e hostimit dhe pronarët e faqeve, kjo e bën arnimin e shpejtë dhe rishikimin e konfigurimit thelbësor.

Publikimet listojnë intervalet e versioneve të prekura, por nuk specifikojnë se cilat versione përmbajnë rregullimet. Pronarët e faqeve duhet të kontrollojnë faqet e zhvilluesve të plugin-eve dhe temave, si dhe këshillat e Wordfence dhe Patchstack, për informacione zyrtare për arnimet sapo të shfaqen. Ndërsa presin përditësimet, administratorët mund të zvogëlojnë rrezikun duke çaktivizuar çdo plugin ose temë të prekur kur është e mundur, dhe duke rishikuar cilësimet si mapimet SSO, ruajtjen automatike të vargjeve dhe konfigurimet e portës së pagesës.

Për pronarët që preferojnë një ofrues për të menaxhuar instalimin e tyre të WordPress, AEU Hosting ofron hostim të menaxhuar WordPress, i cili mund të përfshijë delegimin e detyrave të përditësimit dhe sigurisë tek ekipi i hostimit. Ky lloj mbështetjeje mund të zvogëlojë mundësinë e ekzekutimit të një plugin-i të njohur si të dobët për një kohë të gjatë pas një publikimi.