#wordpress
24 artykuły
CVE-2026-119977: zdalne wykonanie kodu podczas aktualizacji WordPress Core (CISA KEV)
WordPress Core w wersjach 4.7–7.1.3 pozwala nieuwierzytelnionemu atakującemu wykonać kod na serwerze w trakcie aktualizacji rdzenia, przez przewidywalne i dostępne z sieci ścieżki tymczasowe. CISA potwierdza aktywne wykorzystanie...
CVE-2026-87902: dołączanie plików PHP w rdzeniu WordPressa prowadzące do RCE (KEV)
Nieuwierzytelniony atakujący może zmusić mechanizm wyboru szablonu strony w rdzeniu WordPressa do dołączenia wybranego lokalnego pliku .php spoza katalogów motywu, co może prowadzić do zdalnego wykonania kodu...
CVE-2026-32475: Nieograniczone przesyłanie plików w Elementor Pro prowadzące do RCE
Elementor Pro do wersji 4.2.1 pozwala na nieograniczone przesyłanie plików niebezpiecznego typu. Patchstack opisuje ścieżkę od nieuwierzytelnionego uploadu do RCE...
CVE-2026-63030: SQL Injection i RCE w WordPress Core (CVSS 9.8, aktywna eksploatacja)
WordPress Core zawiera podatność typu interpretation conflict, która pozwala atakującemu przeprowadzić SQL Injection i doprowadzić do zdalnego wykonania kodu. Można ją łączyć z CVE-2026-60137...
CVE-2026-6960: Dowolne przesyłanie plików we wtyczce WordPress BookingPress Pro
Wtyczka BookingPress Pro dla WordPress jest podatna na przesyłanie dowolnych plików z powodu braku walidacji typu pliku w funkcji 'bookingpress_validate_submitted_booking_form_func' we wszystkich wersjach...
CVE-2026-6279: Nieuwierzytelnione RCE we wtyczce WordPress Avada Builder
Wtyczka Avada Builder (fusion-builder) dla WordPress jest podatna na nieuwierzytelnione zdalne wykonanie kodu (RCE) poprzez wstrzyknięcie funkcji PHP w wersjach do 3.15.2 włącznie. Przyczyną jest ...
CVE-2026-45444: Wgrywanie dowolnych plików w Gift Cards For WooCommerce Pro (wtyczka)
Podatność typu Unrestricted Upload of File with Dangerous Type we wtyczce Gift Cards For WooCommerce Pro (WP Swings) umożliwia wgrywanie złośliwych plików. Problem dotyczy wersji do 4.2.6 włącznie....
CVE-2026-6555: Krytyczna podatność w WordPress ProSolution WP Client (plugin) - natychmiastowa aktualizacja wymagana
Wtyczka ProSolution WP Client dla WordPress jest podatna na Arbitrary File Upload w wersjach do 2.0.0 włącznie. Niezautoryzowany atakujący może przesłać złośliwy plik PHP i osiągnąć zdalne wykonanie kodu...
CVE-2026-7637: Krytyczna podatność w WordPress Boost (plugin) - natychmiastowa aktualizacja wymagana
Wtyczka Boost dla WordPress jest podatna na PHP Object Injection w wersjach do 2.0.3 włącznie poprzez deserializację niezaufanych danych w ciasteczku STYXKEY-BOOST_USER_LOCATION. Umożliwia to wstrzyknięcie obiektu PHP...
CVE-2026-4883: Wgrywanie dowolnych plików we wtyczce WordPress Piotnet Forms
Wtyczka Piotnet Forms dla WordPress jest podatna na wgrywanie dowolnych plików z powodu braku walidacji typu pliku w funkcji 'piotnetforms_ajax_form_builder' we wszystkich wersjach do 2.1.40 włącznie...
CVE-2026-4885: Wgrywanie dowolnych plików we wtyczce WordPress Piotnet Addons for Elementor Pro
Wtyczka Piotnet Addons for Elementor Pro dla WordPress jest podatna na wgrywanie dowolnych plików z powodu braku walidacji typu pliku w funkcji 'pafe_ajax_form_builder' we wszystkich wersjach do 7.1.70 włącznie...
CVE-2026-5229: Ominięcie uwierzytelniania we wtyczce Form Notify dla WordPress
Wtyczka Form Notify dla WordPress jest podatna na ominięcie uwierzytelniania w wersjach do 1.1.10 włącznie. Powodem jest zaufanie do danych cookie kontrolowanych przez użytkownika przy wyborze konta...
CVE-2026-6510: Krytyczna podatność eskalacji uprawnień w wtyczce WordPress InfusedWoo Pro - natychmiastowa aktualizacja wymagana
Wtyczka InfusedWoo Pro dla WordPress jest podatna na eskalację uprawnień poprzez brak autoryzacji we wszystkich wersjach do 5.1.2 włącznie. Brak weryfikacji nonce i sprawdzania uprawnień w obsłudze AJAX umożliwia nieautoryzowany dostęp...
CVE-2026-8181: Krytyczna podatność obejścia uwierzytelniania w WordPress Burst Statistics (plugin) - natychmiastowa aktualizacja wymagana
Obejście uwierzytelniania we wtyczce WordPress Burst Statistics w wersjach 3.4.0 do 3.4.1.1 poprzez nieprawidłową obsługę wartości zwracanych w funkcji is_mainwp_authenticated(). Nieuwierzytelnieni atakujący znający nazwę administratora mogą podszyć się pod niego...
CVE-2026-4882: Arbitrary file upload w User Registration Advanced Fields (WordPress)
Plugin User Registration Advanced Fields dla WordPressa (do wersji 1.6.20 włącznie) pozwala nieuwierzytelnionym atakującym na upload dowolnych plików, co umożliwia zdalne wykonanie kodu na serwerze...
CVE-2026-7458: Ominięcie uwierzytelniania w User Verification by PickPlugins (WordPress)
Plugin User Verification by PickPlugins dla WordPressa (do wersji 2.0.46 włącznie) pozwala nieuwierzytelnionym atakującym zalogować się jako dowolny użytkownik z zweryfikowanym e-mailem - wystarczy przesłać wartość OTP równą "true"...
CVE-2026-7567: Ominięcie uwierzytelniania w Temporary Login plugin (WordPress)
Plugin Temporary Login do WordPressa (do wersji 1.0.0 włącznie) zawiera podatność authentication bypass w funkcji maybe_login_temporary_user(). Przekazanie tablicy zamiast stringa w parametrze GET pozwala atakującemu zalogować się jako dowolny użytkownik...
CVE-2026-1555: Arbitrary file upload w motywie WebStack dla WordPress
Motyw WebStack dla WordPress jest podatny na nieautoryzowane wgrywanie plików z powodu braku walidacji typu pliku w funkcji io_img_upload(), co umożliwia zdalne wykonanie kodu...
CVE-2026-34424: Podatność w WordPress WordPress — natychmiastowa aktualizacja wymagana
Smart Slider 3 Pro version 3.5.1.35 for WordPress and Joomla contains a multi-stage remote access toolkit injected through a compromised update system that allows unauthenticated attackers to execute ...
CVE-2026-3535: Podatność w WordPress WordPress — natychmiastowa aktualizacja wymagana
The DSGVO Google Web Fonts GDPR plugin for WordPress is vulnerable to arbitrary file upload due to missing file type validation in the `DSGVOGWPdownloadGoogleFonts()` function in all versions up to, a...
CVE-2026-0740: Podatność w WordPress WordPress — natychmiastowa aktualizacja wymagana
The Ninja Forms - File Uploads plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the 'NF_FU_AJAX_Controllers_Uploads::handle_upload' function in all v...
CVE-2026-3300: Krytyczna podatność RCE przez PHP code injection w Everest Forms Pro (wtyczka WordPress) — natychmiastowa aktualizacja wymagana
The Everest Forms Pro plugin for WordPress is vulnerable to Remote Code Execution via PHP Code Injection in all versions up to, and including, 1.9.12. This is due to the Calculation Addon's process_fi...
CVE-2026-4257: Podatność w WordPress WordPress — natychmiastowa aktualizacja wymagana
The Contact Form by Supsystic plugin for WordPress is vulnerable to Server-Side Template Injection (SSTI) leading to Remote Code Execution (RCE) in all versions up to, and including, 1.7.36. This is d...
CVE-2026-4001: Krytyczna podatność w WordPress Woocommerce Custom Product Addons Pro - natychmiastowa aktualizacja wymagana
The Woocommerce Custom Product Addons Pro plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 5.4.1 via the custom pricing formula eval() in the process_c...