Dobësitë në WordPress arrijnë 501 zbulime të reja

Dobësitë në WordPress të zbuluara mes 28 shtatorit dhe 4 tetorit 2026 prekën 367 shtojca dhe 9 tema, sipas Wordfence Intelligence, e cila shtoi 501 hyrje në bazën e saj të të dhënave të dobësive për atë javë.

Wordfence raportoi se 201 studiues të dobësive kontribuuan me gjetje sigurie për WordPress gjatë së njëjtës periudhë. Nga 501 dobësitë, 449 u renditën si të arnuara dhe 52 mbetën të paarnuara në kohën kur u shtuan. Sipas ashpërsisë, Wordfence numëroi 20 dobësi kritike, 174 probleme me ashpërsi të lartë, 306 probleme me ashpërsi mesatare dhe 1 problem me ashpërsi të ulët. Për pronarët e faqeve, mesazhi praktik është i drejtpërdrejtë: një faqe WordPress mund të jetë e ekspozuar edhe nëse preket vetëm një shtojcë ose temë e instaluar, ndaj kontrollimi i inventarit real të softuerit ka më shumë rëndësi sesa të shikohet vetëm bërthama e WordPress.

Klasa më e zakonshme e dobësive gjatë javës ishte cross-site scripting, një mangësi që mund t’i lejojë një sulmuesi ta bëjë një faqe të ekzekutojë kod të padëshiruar në shfletuesin e një vizitori. Wordfence numëroi 206 raste të tilla. Kategori të tjera të dukshme përfshinin 68 probleme me autorizim të munguar, ku softueri nuk kontrollon nëse një përdorues lejohet të kryejë një veprim, 42 probleme SQL injection, ku komanda të pasigurta të bazës së të dhënave mund të nisen përmes të dhënave të futura nga përdoruesi, 34 probleme ekspozimi të informacionit të ndjeshëm dhe 30 probleme deserializimi të të dhënave të pabesuara, një trajtim i rrezikshëm i të dhënave të ruajtura që ndonjëherë mund të çojë në ekzekutim kodi, në varësi të aplikacionit.

Hyrjet kritike tregojnë pse mirëmbajtja e shtojcave dhe temave është çështje hostimi dhe vazhdimësie biznesi, jo thjesht një detyrë zhvilluesish. Wordfence renditi mangësi të arnuara të ekzekutimit të kodit nga distanca pa autentikim në AcyMailing deri në dhe përfshirë 11.0.5, Kirki deri në dhe përfshirë 6.3.1 dhe SiteSkite deri në dhe përfshirë 2.1.8. Ekzekutimi i kodit nga distanca do të thotë se një sulmues mund të jetë në gjendje të ekzekutojë komanda ose kod përmes faqes së cenueshme. Wordfence renditi gjithashtu probleme kritike të arnuara të anashkalimit të autentikimit ose marrjes së kontrollit të llogarisë në DevKit Pro deri në dhe përfshirë 2.3.0, Divi Membership deri në dhe përfshirë 2.3.0, JSON API Auth deri në dhe përfshirë 3.1.2, Ultimate Multisite deri në dhe përfshirë 2.15.0 dhe WPMobile.App deri në dhe përfshirë 11.82.

Disa probleme kritike u shënuan si të paarnuara. Wordfence renditi Kognetiks Chatbot deri në dhe përfshirë 2.4.9 si të prekur nga ngarkim arbitrar skedarësh pa autentikim, BackupSheep deri në dhe përfshirë 1.8 si të prekur nga fshirje arbitrare skedarësh pa autentikim dhe Zombify deri në dhe përfshirë 1.7.7 si të prekur nga ngarkim arbitrar skedarësh pa autentikim. Me fjalë të thjeshta, një gabim i ngarkimit arbitrar të skedarëve mund t’i lejojë një sulmuesi të vendosë në një faqe një skedar sipas zgjedhjes së tij, ndërsa fshirja arbitrare e skedarëve mund t’i lejojë të heqë skedarë që i duhen faqes. Për një faqe biznesi aktive, secila nga këto kategori mangësish mund të kthehet në problem disponueshmërie, integriteti ose rikuperimi.

Hyrjet me ashpërsi të lartë përfshinin rrugë sulmi si pa autentikim, ashtu edhe me autentikim. Wordfence renditi mangësi të paarnuara me ashpërsi të lartë në WooCommerce Designer Pro deri në dhe përfshirë 1.9.33, të përshkruar si ekzekutim kodi nga distanca me autentikim për përdorues të nivelit abonent e më lart, Product Designer App deri në dhe përfshirë 1.1.3, të përshkruar si lexim arbitrar skedarësh pa autentikim, WooCommerce Appointments deri në dhe përfshirë 5.3.2, të përshkruar si SQL injection pa autentikim, dhe WooCommerce Lottery deri në dhe përfshirë 2.2.9, gjithashtu të përshkruar si SQL injection pa autentikim. Raporti përfshiu edhe probleme të arnuara SQL injection me ashpërsi të lartë në Ajax Search Pro, EduAdmin Booking, Paytm Payment Gateway, Unlimited Elements for Elementor, WP BASE Booking of Appointments, Services and Events, WP Data Access dhe WP Visitor Statistics.

Wordfence tha se ekipi i saj i inteligjencës së kërcënimeve shqyrton çdo dobësi për ndikimin, ashpërsinë dhe gjasat e shfrytëzimit, dhe se gjatë javës vendosi një rregull të ri firewall-i. Rregulli u identifikua si WAF-RULE-963, por detajet e tij teknike u redaktuan ndërsa Wordfence punonte me furnizuesin për një arnë. Wordfence tha se klientët Premium, Care dhe Response e morën atë mbrojtje menjëherë, ndërsa përdoruesit e versionit falas do ta merrnin pas një vonese 30-ditore. Wordfence deklaroi gjithashtu se faqet që përdorin shtojcën e saj me skanimin të aktivizuar duhet të jenë njoftuar tashmë nëse preken nga dobësitë e renditura.

Për pronarët e faqeve, përparësia është të krahasojnë shtojcat dhe temat e instaluara me produktet dhe versionet e prekura, pastaj të përditësojnë softuerin e arnuar dhe të heqin ose çaktivizojnë komponentët e paarnuar aty ku rreziku është i papranueshëm. Kjo është veçanërisht e rëndësishme për shtojcat që trajtojnë pagesa, rezervime, anëtarësi, ngarkime skedarësh, formularë, kopje rezervë, e-commerce dhe llogari përdoruesish, sepse shumë nga mangësitë e renditura prekin pikërisht këto lloje funksionesh të faqes. Një shtojcë me profil të ulët të dukshëm mund të ketë ende privilegje të larta në WordPress nëse mund të lexojë skedarë, të ndryshojë përdorues, të përpunojë formularë ose të komunikojë me bazën e të dhënave.

Për organizatat që preferojnë të mos e menaxhojnë vetëm forcimin e sigurisë së WordPress, AEU Hosting është i rëndësishëm këtu sepse ofron hostim të menaxhuar WordPress, të siguruar nga fillimi në fund. Kjo nuk zëvendëson kontrollin nëse është instaluar një shtojcë e caktuar e cenueshme, por përputhet me problemin operacional që thekson ky raport: siguria e WordPress varet nga mirëmbajtja e vazhdueshme e të gjithë shtresës së faqes, përfshirë zgjerimet nga palë të treta.

Përgjigjja e sigurt nuk është paniku ose heqja e çdo shtojce pa dallim. Ajo është mbajtja e një liste të saktë të softuerit të instaluar, zbatimi i përditësimeve të disponueshme, nxjerrja nga përdorimi e komponentëve të braktisur ose të paarnuar dhe rishikimi i llogarive të administratorëve pasi në një faqe të shfaqet ndonjë dobësi serioze autentikimi, përshkallëzimi privilegjesh ose ngarkimi skedarësh.