Sajtet WordPress përballen me 318 dobësi të sapolistuara

Pronarët e sajteve WordPress kanë një listë të madhe patch për të shqyrtuar pasi Wordfence tha se shtoi 318 vulnerabilities në 221 WordPress plugins në Wordfence Intelligence Vulnerability Database për javën nga 21 shtatori deri më 27 shtator 2026. Kompania ia atribuoi publikimet 156 vulnerability researchers dhe tha se 305 nga çështjet e listuara ishin patched, ndërsa 13 mbetën unpatched në kohën e publikimit.

Përzierja e ashpërsisë ka rëndësi për pronarët e faqeve të internetit sepse jo të gjitha defektet e plugin mbartin të njëjtin risk operacional. Wordfence klasifikoi 14 vulnerabilities si kritike, 79 si high severity dhe 225 si medium severity. CVSS, Common Vulnerability Scoring System, është metoda e vlerësimit që përdoret për të matur sa serioze është një e metë sigurie. Në këtë grup, lloji më i zakonshëm i dobësisë ishte cross-site scripting, ku input i pasigurt mund ta bëjë një faqe interneti të ekzekutojë kod script të padëshiruar në browser të një vizitori ose administratori. Wordfence numëroi 95 hyrje cross-site scripting, të ndjekura nga 59 çështje missing authorization, 26 çështje authorization bypass duke përdorur çelësa të kontrolluar nga përdoruesi dhe 24 çështje SQL injection, ku pyetjet e pasigurta të database mund të ekspozojnë ose ndryshojnë të dhëna të ruajtura.

Disa hyrje kritike janë veçanërisht të rëndësishme për administratorët e sajteve sepse përfshijnë akses unauthenticated, që do të thotë se një sulmues nuk do të kishte nevojë të ishte i logged in. Wordfence listoi Automation Web Platform deri në dhe përfshirë 4.8.6 si të prekur nga CVE-2026-14281, një çështje unauthenticated privilege escalation përmes parametrit wawp_custom_fields, me një rezultat CVSS prej 9.8 dhe status patch të shënuar si patched. Give Tributes deri në dhe përfshirë 2.3.1 u listua me CVE-2026-19658, një çështje unauthenticated PHP object injection përmes parametrit të personalizuar give_tributes_ecard_notify recipient, gjithashtu e vlerësuar 9.8 dhe e shënuar patched. PHP object injection është një e metë ku trajtimi i pasigurt i objekteve të të dhënave PHP të ruajtura mund t’i lejojë një sulmuesi të ndërhyjë në sjelljen e aplikacionit.

Wordfence listoi gjithashtu Meta Box AIO deri në dhe përfshirë 3.11.0 dhe standalone plugin extensions me CVE-2026-13355, të përshkruar si unauthenticated privilege escalation në administrator përmes parametrit rwmb_frontend_field_object_id. Hyrjet e software të prekur të shfaqura përfshijnë Meta Box AIO, Meta Box Frontend Submission dhe Meta Box User Profile, dhe çështja është shënuar patched. Hyrje të tjera kritike patched përfshijnë miniOrange OTP Login, Verification and SMS Notifications deri në dhe përfshirë 5.5.5 me CVE-2026-85984, një unauthenticated authentication bypass përmes parametrit mo_wp_login_intent, Paytium deri në dhe përfshirë 5.0.3 me CVE-2026-18467, një çështje unauthenticated privilege escalation, Ultra Addons for Contact Form 7 deri në dhe përfshirë 3.5.50 me CVE-2026-82901, një unauthenticated arbitrary file upload përmes një fushe formulari nënshkrimi, Visual Composer Website Builder deri në dhe përfshirë 45.16.0 me CVE-2026-12227, një unauthenticated local file inclusion përmes parametrit vcv-template, dhe YAHMAN Add-ons deri në dhe përfshirë 0.9.30 me CVE-2026-75799, një çështje unauthenticated remote code execution.

Një hyrje kritike plugin nuk ishte patched në të dhënat që publikoi Wordfence: Request a Quote for WooCommerce deri në dhe përfshirë 2.9.2, e gjurmuar si CVE-2026-18143, një çështje unauthenticated arbitrary file upload përmes një AJAX popup handler. Të metat arbitrary file upload janë të rëndësishme për ekipet e hosting dhe ecommerce sepse rrugët e file upload mund të bëhen një mënyrë për të vendosur skedarë të padëshiruar në një faqe interneti nëse komponenti i cenueshëm nuk kufizon siç duhet çfarë mund të ngarkohet. Wordfence listoi gjithashtu Customer Reviews for WooCommerce deri në dhe përfshirë 5.120.0 me CVE-2026-89055, një çështje kritike unauthenticated arbitrary attachment deletion e shënuar patched, dhe Online Scheduling and Appointment Booking System, Bookly, deri në dhe përfshirë 28.2 me CVE-2026-93399, një çështje kritike booking token disclosure and deletion e shënuar patched.

Grupi high severity përfshiu një çështje patched WordPress core: WordPress deri në dhe përfshirë 7.1.1, e gjurmuar si CVE-2026-87902, e përshkruar nga Wordfence si një çështje unauthenticated local file inclusion përmes locate_template() path traversal. Local file inclusion do të thotë se një e metë mund ta bëjë software të ngarkojë një skedar nga i njëjti sistem që nuk duhet ta ngarkojë, dhe path traversal do të thotë se input mund të formatohet për të arritur skedarë jashtë dosjes së synuar. Wordfence tha se Threat Intelligence Team i saj i shqyrtoi vulnerabilities për impact, severity dhe likelihood of exploitation, dhe se nxori enhanced firewall rules për tre çështje të redaktuara ndërsa punonte me vendors për patches, plus çështjen WordPress core local file inclusion. Sipas Wordfence, klientët Premium, Care dhe Response i morën ato mbrojtje menjëherë, ndërsa përdoruesit falas marrin mbrojtjen e përmirësuar pas një vonese prej 30 ditësh.

Shembuj të tjerë high severity tregojnë gamën e funksioneve plugin të prekura. Wordfence listoi CartFlows deri në dhe përfshirë 3.2.0 me CVE-2026-96837, një çështje authenticated Contributor ose më lart remote code execution, Elementor Website Builder versionet 4.3.0 deri 4.3.1 me CVE-2026-62062, një çështje cross-site request forgery përmes REST nonce bypass në privilege escalation, s2Member deri në dhe përfshirë 260814 me CVE-2026-19804, një çështje unauthenticated remote code execution përmes parametrit first_name në PayPal Proxy Return, Ninja Forms deri në dhe përfshirë 3.15.3 me CVE-2026-91827, një çështje unauthenticated PHP object injection, dhe WebFacing Email Accounts for cPanel versionet 5.3 deri 5.3.6 me CVE-2026-84069, një çështje unauthenticated local file inclusion. U listuan gjithashtu disa hyrje unpatched high severity SQL injection ose server-side request forgery, përfshirë Bluff Post deri në dhe përfshirë 1.1.1, Rename wp-login.php to anything you want deri në dhe përfshirë 2.0.1, SPS-Suite deri në dhe përfshirë 1.4.0 dhe Testimonials Widget deri në dhe përfshirë 4.0.4.

Për bizneset, mesazhi praktik është fillimisht inventarizimi, pastaj përditësimi ose heqja e riskut. Një instalim WordPress mund të varet nga shumë plugins për formularë, pagesa, rezervime, anëtarësi, harta, galeri, komente dhe ecommerce workflows, kështu që një plugin i cenueshëm mund të qëndrojë jashtë security stack të dukshëm. Wordfence tha se sajtet që përdorin plugin-in e saj me scanner të aktivizuar duhet të jenë njoftuar tashmë nëse janë të prekura, por pronarët duhet ende të krahasojnë listën dhe versionet e plugins të instaluara me software të prekur që përdorin, veçanërisht kur një çështje është unpatched ose unauthenticated. Për lexuesit që drejtojnë sajte biznesi, AEU Hosting është i rëndësishëm sepse ofron managed WordPress hosting, të siguruar end to end, gjë që përputhet me nevojën për t’i mbajtur mjediset WordPress të mirëmbajtura dhe të fokusuara te siguria. Në të dhënat e Wordfence të cituara këtu nuk u përfshinë pretendime për exploitation, ndaj veprimi i menjëhershëm është të verifikohet ekspozimi, të aplikohen fixes të disponueshme dhe të çaktivizohen ose zëvendësohen plugins kur nuk ka patch të disponueshëm.