Dobësitë e WordPress arrijnë në 498 në plugins dhe themes
Dobësitë e WordPress të publikuara nga 12 deri më 18 tetor 2026 arritën në 498 në 328 plugins dhe 23 themes, sipas Wordfence Intelligence. Nga këto dobësi, 431 u renditën si të korrigjuara me patch dhe 67 mbetën pa patch. Wordfence ua atribuoi gjetjet e asaj jave 218 kërkuesve të dobësive, ndërsa programi i saj PRISM përbënte 40 entries. Ky vëllim do të thotë se pronarët e faqeve duhet t’i kontrollojnë extensions e instaluara sipas produktit dhe versionit të saktë, në vend që të supozojnë se një përditësim rutinë i WordPress core i trajton këto rreziqe.
Ndarja sipas ashpërsisë përfshinte 23 dobësi kritike, 153 me ashpërsi të lartë, 316 me ashpërsi mesatare dhe gjashtë me ashpërsi të ulët. Këto vlerësime përdorin CVSS, Common Vulnerability Scoring System, i cili cakton një rezultat që pasqyron ndikimin e mundshëm të një dobësie dhe lehtësinë e shfrytëzimit të saj. Kategoria më e madhe teknike ishte trajtimi i papërshtatshëm i input të përdorur për të krijuar faqe web, me 159 raste, e ndjekur nga 116 dobësi të mungesës së authorization. Wordfence regjistroi gjithashtu 34 probleme SQL injection, ku input i manipuluar mund të ndryshojë komandat e database, dhe 33 raste që përfshinin unsafe deserialization, ku të dhënat e ruajtura rindërtohen në software objects pa kontrolle të mjaftueshme. Totale të tjera përfshinin 31 ekspozime të informacioneve sensitive, 22 dobësi në menaxhimin e privilege, 20 authorization bypasses që përfshinin keys të kontrolluara nga përdoruesi, 15 dobësi në gjenerimin e kodit, 11 uploads të rrezikshme skedarësh dhe 10 probleme path traversal që mund të arrinin skedarë jashtë directory së synuar.
Kategoritë e mbetura ishin nëntë kontrolle të pamjaftueshme të authenticity, shtatë dobësi cross-site request forgery, gjashtë probleme improper authentication, pesë kontrolle të pasigurta PHP include ose require, katër raste të zbatimit client-side për sigurinë server-side, tri dobësi incorrect authorization, tri probleme server-side request forgery, dy dobësi të përgjithshme të input validation dhe dy redirects drejt faqeve të pabesueshme. Gjetjet individuale përfshinin akses të pasigurt të njëkohshëm në një resource të përbashkët, kod keqdashës të integruar, improper access control, output të pasigurt të kaluar te një component tjetër, command injection dhe vlera me randomness të pamjaftueshme.
Nëntëmbëdhjetë dobësi kritike morën një rezultat CVSS prej 9.8. Këto përfshinin një unauthenticated arbitrary file upload në 10Web Booster deri në versionin 2.34.10, të gjurmuar si CVE-2026-108587, dhe dy dobësi në Abandoned Cart Pro for WooCommerce deri në versionin 10.8.0: authentication bypass përmes një recovery link, CVE-2026-97657, dhe SQL injection përmes të dhënave të guest cart, CVE-2026-97668. Unauthenticated do të thotë se një sulmues nuk do të kishte nevojë të hynte në llogari. AGE-GATE deri në versionin 1.0 kishte një problem PHP code injection pa patch, i cili lejonte remote code execution, domethënë ekzekutimin e komandave në server, nën CVE-2026-104800. JTL-Connector for WooCommerce deri në versionin 2.4.3 mbeti gjithashtu pa patch për arbitrary file upload, CVE-2026-87855.
Probleme të tjera me vlerësim 9.8 ishin korrigjuar me patch në ELEX WordPress HelpDesk deri në 3.3.7, CVE-2026-103768; LearnPress deri në 4.4.10, CVE-2026-104736; MailOptin deri në 1.2.78.6, CVE-2026-109515; Mang Board 2.4.4, CVE-2026-109219; MDTF deri në 1.3.9, CVE-2026-108151; My Calendar deri në 3.8.7, CVE-2026-104798; OTP Login & Register Woocommerce deri në 2.7.2, CVE-2026-110135; Printcart Store deri në 2.9.1, CVE-2026-93388; SimpleForm deri në 3.10.0, CVE-2026-104748; Sunshine Photo Cart deri në 3.7.4, CVE-2026-104730; The Grid deri në 2.8.1, CVE-2026-94169; dhe Theme My Login deri në 7.2.1, CVE-2026-89079. Rank Math SEO PRO 3.0.123 u rendit si i korrigjuar me patch për kod keqdashës të integruar nën CVE-2026-111862. Snazzy Social Media Feed deri në 2.5 mbeti pa patch për një dobësi arbitrary file upload, CVE-2026-110002.
Katër gjetje të tjera kritike morën rezultatin 9.1. LatePoint deri në 5.7.4 kishte një authentication bypass të korrigjuar me patch, të shkaktuar nga një race condition në numëruesin e përpjekjeve me one-time password, CVE-2026-110653. Click to Chat deri në 4.44 kishte një problem arbitrary shortcode execution të korrigjuar me patch, CVE-2026-92097, ndërsa File Upload to Order deri në 1.1.3 kishte një dobësi arbitrary file deletion të korrigjuar me patch, CVE-2026-107594. BuddyPress XProfile Custom Image Field deri në 3.1.0 mbeti pa patch për unauthenticated arbitrary file deletion; entry në database të paraqitur nga Wordfence nuk përmbante një identifikues CVE.
Gjetjet me ashpërsi të lartë përfshinin dobësi remote code execution ose file upload në affiliate-toolkit, DoubleScale CRM, Email Customizer for WooCommerce, FV Flowplayer, HivePress, MapSVG, WP Photo Album Plus dhe YaySMTP. Aksesi i kërkuar varionte nga roli subscriber te contributor ose role të tjera specifike të produktit. PilotPress deri në 2.0.43 dhe versionet 10.17 deri në 10.31.10 të Salon Booking System kishin probleme privilege escalation të korrigjuara me patch. Gravity Forms para versionit 3.1.1 kishte një dobësi unauthenticated PHP object injection të korrigjuar me patch, CVE-2026-97296, ndërsa Backuply deri në 1.5.8 dhe Search Regex 3.5 kishin dobësi të korrigjuara me patch dhe të vlerësuara me 8.0, të cilat mund të çonin në privilege escalation ose remote code execution.
Një grup i rëndësishëm themes mbeti pa patch në kohën e publikimit. Avventure, Bonbon, Coinpress, Edge Decor, EmojiNation, Filmax, gamezone, Gamic, Good Homes, Gunslinger, Le Truffe, Legal Stone, Marcell, Meals & Wheels, Mission, Motorix, Muzicon, Nuts dhe Orpheus u renditën secili me dobësi unauthenticated PHP object injection të vlerësuara me 8.1. Versionet e sipërme të prekura ndryshonin sipas theme dhe entries mbanin identifikues CVE nga CVE-2026-61997 deri në CVE-2026-62018, me boshllëqe në atë renditje. Wordfence raportoi gjithashtu probleme pa patch me ashpërsi të lartë në Contact Form 7 Signature Addon deri në 4.2.2, Gmedia Photo Gallery deri në 1.25.1 dhe JTL-Connector deri në 2.4.3.
Wordfence tha se vendosi WAF-RULE-966 dhe WAF-RULE-967, ndërsa nuk publikoi hollësitë teknike gjatë punës me vendors për patches, si dhe mbrojtje për një problem PHP object injection në comments. Një WAF, ose web application firewall, shqyrton web requests dhe mund të bllokojë patterns të njohura si keqdashëse. Klientët Premium, Care dhe Response i morën menjëherë këto rules, ndërsa plugin falas ishte planifikuar t’i merrte pas një vonese prej 30 ditësh. Wordfence ofron gjithashtu akses falas në interface e vet të dobësive, API dhe integrimet webhook, përfshirë një database që përmban më shumë se 40,000 dobësi; një webhook dërgon automatikisht një përditësim te një shërbim tjetër kur ndryshon informacioni në database.
Faqet që përdorin Wordfence plugin me scanning të aktivizuar duhet të kenë marrë njoftime kur janë prekur, por administrators duhet ende të veprojnë sipas këtyre paralajmërimeve. Për produktet pa patch, çaktivizimi dhe heqja e extension së prekur është mënyra më e qartë për të eliminuar kodin e saj nga faqja derisa të jetë i disponueshëm një release i korrigjuar. Për organizatat që preferojnë që platforma e faqes të menaxhohet si shërbim, AEU Hosting ofron managed WordPress hosting të siguruar nga fillimi në fund. Pavarësisht mënyrës së hosting, pronarët duhet të mbajnë një inventar të plugins dhe themes aktive, të heqin software që nuk e përdorin më dhe të verifikojnë se versionet e instaluara janë jashtë intervaleve të prekura.