Pesë dobësi në shtojcat e WordPress lejojnë marrjen e kontrollit të faqes

Pesë dobësi kritike në shtojcat e WordPress, plus një në një temë të përdorur gjerësisht, mund të lejojnë sulmuesit të marrin kontrollin e faqeve të internetit, sipas njoftimeve nga kompanitë e sigurisë Wordfence dhe Patchstack. Produktet e prekura janë shtojca WPMU DEV Dashboard, tema Avada së bashku me shtojcën e saj Fusion Builder, shtojca shumëgjuhëshe TranslatePress, shtojca e llojeve të përmbajtjes së personalizuar Pods dhe shtojca e donacioneve GiveWP. Pikët e ashpërsisë variojnë nga 9.8 deri në maksimumin 10.0, dhe pasojat e raportuara përfshijnë anashkalimin e autentikimit, marrjen e kontrollit të llogarisë dhe ekzekutimin e kodit arbitrar.

Për lexuesit që nuk merren me faqe interneti çdo ditë, disa përkufizime ndihmojnë. WordPress është softueri që drejton një pjesë të madhe të faqeve në botë, dhe një shtojcë është një shtesë që i jep atij një funksion, si një formular donacioni ose një mjet përkthimi, ndërsa një temë kontrollon pamjen e faqes. Një dobësi është një gabim në atë kod që një sulmues mund të shfrytëzojë. Secila dobësi më poshtë ka një numër CVE, një identifikues publik katalogu që u lejon administratorëve dhe shitësve t'i referohen një gabimi specifik, dhe një pikë CVSS, një shkallë e përdorur gjerësisht nga 0 në 10 ku një numër më i lartë do të thotë që dobësia është më e lehtë për t'u shfrytëzuar dhe shkakton më shumë dëm. I paautentikuar do të thotë që sulmuesi nuk ka nevojë për një llogari ose fjalëkalim në faqe për të filluar, dhe aksesi i administratorit do të thotë kontroll i plotë i faqes.

Dobësia e parë, CVE-2026-76581, ka një pikë CVSS 9.8 dhe është një anashkalim autentikimi në shtojcën WPMU DEV Dashboard, të cilën pronarët e përdorin për të menaxhuar faqet e lidhura me shërbimin WPMU DEV. Wordfence dhe Patchstack raportojnë se në faqet e lidhura me WPMU DEV ku Hub Single Sign-On është aktivizuar dhe është mapuar në një administrator, një sulmues pa llogari mund të marrë akses administratori dhe të marrë kontrollin e faqes. Gama e prekur mbulon të gjitha versionet deri dhe duke përfshirë 5.0.1. Single sign-on është një funksion që lejon një identifikim të hapë disa shërbime të lidhura, prandaj një gabim në të mund të japë akses kaq të gjerë.

E dyta, CVE-2026-18431, gjithashtu ka pikë 9.8 dhe është një shkrim arbitrar skedari në temën Avada. Në terma të thjeshtë, sulmuesi mund të vendosë skedarë të zgjedhur prej tij në serverin e uebit pa u identifikuar. Për shkak se këta skedarë mund të jenë skedarë PHP, gjuha e skriptimit që WordPress përdor për të ndërtuar faqet, sulmuesi mund të bëjë që serveri t'i ekzekutojë ata, të cilën njoftimet e përshkruajnë si ekzekutim kodi në distancë dhe kompromis të plotë të faqes. Kushtet kanë rëndësi këtu: të gjitha versionet e Avada deri dhe duke përfshirë 7.16 janë të prekura, por vetëm kur shtojca Fusion Builder është e instaluar dhe aktive në versione deri dhe duke përfshirë 3.16.

E treta, CVE-2026-19632, ka pikë 9.8 dhe është një ekspozim i informacionit të ndjeshëm në shtojcën e listuar si TranslatePress, e përshkruar si një mjet për përkthimin e faqeve shumëgjuhëshe me përkthim AI. Sipas njoftimeve, një sulmues i paautentikuar mund të nxjerrë URL-në e papërpunuar të rivendosjes së fjalëkalimit të administratorit, e cila përfshin çelësin e rivendosjes në tekst të thjeshtë dhe parametrat e identifikimit, dhe ta përdorë për marrjen e plotë të kontrollit të llogarisë së administratorit. Një lidhje rivendosjeje fjalëkalimi zakonisht dërgohet në emailin e pronarit në mënyrë që vetëm ai ta përdorë atë; nëse dikush tjetër mund ta lexojë atë, ai mund të vendosë vetë një fjalëkalim të ri. Konfigurimi i prekur është përsëri i ngushtë: të gjitha versionet deri dhe duke përfshirë 3.3.1, por vetëm kur ruajtja automatike e vargjeve është aktivizuar dhe lokali i profilit të administratorit të synuar është vendosur në një gjuhë dytësore të publikuar. Një lokal është cilësimi i gjuhës i lidhur me profilin e një përdoruesi.

E katërta, CVE-2026-19598, ka pikë 9.8 dhe është një rritje privilegjesh në shtojcën e listuar si Pods, shtojca e llojeve dhe fushave të përmbajtjes së personalizuar. Studiuesit raportojnë se një sulmues pa llogari mund të rrisë privilegjet e tij në Administrator, ose të mbishkruajë fjalëkalimin e çdo llogarie përdoruesi duke përfshirë atë të pronarit të faqes, e cila përsëri përbën marrjen e plotë të kontrollit të faqes. Të gjitha versionet deri dhe duke përfshirë 3.3.9 janë të prekura. Rritja e privilegjeve do të thotë të fillosh me pak ose aspak akses dhe të përfundosh me shumë më tepër.

Dobësia e pestë dallohet sepse arrin majën e shkallës. CVE-2026-82222 ka një pikë CVSS 10.0 dhe prek shtojcën e donacioneve GiveWP, dhe lejon një sulmues të ekzekutojë komanda arbitrare në serverin e një faqeje GiveWP që ka një formular donacioni të publikuar dhe një portë pagese aktive. Të gjitha versionet deri dhe duke përfshirë 4.16.7.1 janë të prekura. Në përshkrimin e Patchstack për këtë rast, tre përbërës përputhen: një ndihmës i sigurt unserialize që është i thyer, një rrjedhë donacioni që fut të dhëna të kontrolluara nga sulmuesi në atë ndihmës, dhe një zinxhir gadget në kodin që GiveWP ofron. Patchstack përmblodhi mësimin si injeksion objekti PHP që kthehet në ekzekutim kodi në distancë kur një vend për të ruajtur një objekt të serializuar të kontrolluar nga sulmuesi, kod që më vonë e deserializon atë dhe një zinxhir gadget në klasat e ngarkuara bashkohen të gjitha. Deserializimi është akti i kthimit të të dhënave të ruajtura përsëri në objekte programi të përdorshme, dhe bëhet i rrezikshëm kur ato të dhëna vijnë nga një sulmues në vend të një burimi të besuar.

Patchstack gjithashtu emërtoi shkaqet rrënjësore që pa pas kësaj klase gabimi. Në përshkrimin e tij, ekipet i besojnë një sanitizuesi serializimi që në fakt nuk i heq objektet, ata deserializojnë të dhëna të lexuara nga baza e të dhënave sikur të ishin të besuara, dhe ata ofrojnë biblioteka vetëm për zhvillim në prodhim, ku ato biblioteka ofrojnë zinxhirë gadget të gatshëm për një sulmues për t'i përdorur. Pika e fundit është një kujtesë se kodi i shtuar për lehtësi gjatë ndërtimit të një produkti mund të bëhet një armë nëse mbetet në versionin e përfunduar.

Për pronarët e faqeve, pamja praktike është kjo. Të pesë problemet mund të fillohen pa sulmuesi të ketë një identifikim, gjë që heq barrierën e parë të zakonshme, por shumica e tyre kanë nevojë për një konfigurim të veçantë për të funksionuar, siç tregojnë kushtet më sipër. Materiali i disponueshëm për këtë raport përshkruan gamat e versioneve të prekura por nuk thotë se cili version rregullon secilën dobësi, kështu që qasja e sigurt është të kontrolloni versionin aktual të secilit produkt të emërtuar këtu dhe, nëse qëndron në ose nën numrin e listuar, ta trajtoni faqen si të ekspozuar derisa të keni konfirmuar të kundërtën me shitësin ose ofruesin tuaj të hostingut. Kushdo që drejton një dyqan, një faqe donacionesh ose një faqe anëtarësimi duhet ta trajtojë këtë si urgjente dhe jo rutinë, sepse aksesi i administratorit ose ekzekutimi i komandave në server është niveli më i thellë i kompromisit që një faqe interneti mund të pësojë: një sulmues mund të lexojë të dhëna klientësh, të ndryshojë përmbajtje, të shtojë faqe të fshehura dhe të vazhdojë të kthehet.

Faqet që mbajnë shumë shtojca janë ato më të ekspozuarat, dhe kjo është një fushë ku ndihma e menaxhuar bën diferencën. AEU Hosting (albhosting.eu) është shërbimi ynë i hostingut të menaxhuar për WordPress, i ndërtuar posaçërisht për faqet WordPress dhe që kujdeset për anën e platformës së drejtimit të tyre, kështu që pronarët që nuk duan t'i ndjekin vetë njoftimet e shtojcave mund të kontrollojnë faqen e shërbimit për të parë çfarë përfshihet. Cilido hosting që përdor një faqe, të njëjtat zakone ndihmojnë: hiqni atë që nuk përdorni, mbani të përditësuar atë që mbani, dhe sigurohuni që mund të riktheheni nga një kopje rezervë nëse diçka shkon keq.