WordPress

Niedługo po wydaniu poprawek, zaobserwowano masowe próby wykorzystania poważnej luki w zabezpieczeniach WordPressa umożliwiającej zdalne wykonanie kodu (RCE). Błąd, który dotyczy wersji od 4.7 do 7.1.3, wykorzystuje przewidywalne ścieżki dostępu do plików instalacyjnych podczas aktualizacji, pozwalając nieautoryzowanym atakującym na przejęcie kontroli nad serwerem w krótkim oknie czasowym. Wordfence odnotował 62 969 prób ataków, podkreślając, że właściciele stron powinni jak najszybciej zaktualizować swoje instalacje WordPressa.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Nieznani sprawcy naruszyli stronę TeamUpdraft, uzyskując dostęp do kluczy połączeń klientów dla UpdraftCentral, UpdraftVault i UpdraftClone, których użyli do instalacji backdoorów na stronach WordPress. Incydent doprowadził do przejęcia bazy danych zawierającej dane klientów, ale nie dane finansowe. Zespół TeamUpdraft zareagował natychmiastowo, wdrażając poprawki i resetując dane uwierzytelniające, aby zapobiec dalszym atakom oraz zaleca użytkownikom zmianę haseł i ponowną autoryzację kluczy.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Nieznani sprawcy naruszyli stronę TeamUpdraft, uzyskując dostęp do kluczy połączeń klientów dla UpdraftCentral, UpdraftVault i UpdraftClone, których użyli do instalacji backdoorów na stronach WordPress. Incydent doprowadził do przejęcia bazy danych zawierającej dane klientów, ale nie dane finansowe. Zespół TeamUpdraft zareagował natychmiastowo, wdrażając poprawki i resetując dane uwierzytelniające, aby zapobiec dalszym atakom oraz zaleca użytkownikom zmianę haseł i ponowną autoryzację kluczy.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Kopie płatnej wersji pluginu SEO WordPress Rank Math PRO, pobrane między 15 a 16 października, zawierały złośliwe oprogramowanie, które tworzyło samonaprawiającą się tylną furtkę, infekując strony odwiedzane przez użytkowników. Firma Rank Math usunęła zainfekowane pliki i wydała czystą wersję 3.0.124, jednak proces odzyskiwania wymaga dokładnego czyszczenia serwera, zmiany haseł oraz skanowania bezpieczeństwa, a eksponowane mogły zostać wszelkie poufne dane witryny.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Kopie płatnej wersji pluginu SEO WordPress Rank Math PRO, pobrane między 15 a 16 października, zawierały złośliwe oprogramowanie, które tworzyło samonaprawiającą się tylną furtkę, infekując strony odwiedzane przez użytkowników. Firma Rank Math usunęła zainfekowane pliki i wydała czystą wersję 3.0.124, jednak proces odzyskiwania wymaga dokładnego czyszczenia serwera, zmiany haseł oraz skanowania bezpieczeństwa, a eksponowane mogły zostać wszelkie poufne dane witryny.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Wtyczka Bricksforge dla WordPressa posiada krytyczną lukę (CVE-2026-85097) z oceną CVSS 10.0, która pozwala nieautoryzowanym atakującym na zdalne wykonanie kodu PHP poprzez przesyłanie spreparowanych plików. Luka, obecna w wersjach do 3.1.8.9, umożliwia obejście mechanizmów walidacji typu MIME poprzez wykorzystanie pola ‘url’ w parametrze ’temporaryFileUploads’, prowadząc do wykonania złośliwego kodu na serwerze.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Wtyczka Bricksforge dla WordPressa posiada krytyczną lukę (CVE-2026-85097) z oceną CVSS 10.0, która pozwala nieautoryzowanym atakującym na zdalne wykonanie kodu PHP poprzez przesyłanie spreparowanych plików. Luka, obecna w wersjach do 3.1.8.9, umożliwia obejście mechanizmów walidacji typu MIME poprzez wykorzystanie pola ‘url’ w parametrze ’temporaryFileUploads’, prowadząc do wykonania złośliwego kodu na serwerze.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Badacze cyberbezpieczeństwa odkryli nowy typ złośliwego oprogramowania dla WordPressa, nazwanego SC, które potrafi samoczynnie odbudować się po usunięciu, wykorzystując wiele mechanizmów utrwalania obecności. Malware rozprzestrzenia się w co najmniej ośmiu lokalizacjach jednocześnie, w tym w plikach, bazie danych i pamięci współdzielonej, a każda z tych kopii jest zdolna do odtworzenia pozostałych, co tworzy system “samonaprawiającej się siatki” kontrolowanej przez blockchain.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Badacze cyberbezpieczeństwa odkryli nowy typ złośliwego oprogramowania dla WordPressa, nazwanego SC, które potrafi samoczynnie odbudować się po usunięciu, wykorzystując wiele mechanizmów utrwalania obecności. Malware rozprzestrzenia się w co najmniej ośmiu lokalizacjach jednocześnie, w tym w plikach, bazie danych i pamięci współdzielonej, a każda z tych kopii jest zdolna do odtworzenia pozostałych, co tworzy system “samonaprawiającej się siatki” kontrolowanej przez blockchain.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Wtyczka Elementor Website Builder dla WordPressa posiada krytyczną lukę CSRF, która umożliwia atakującemu przejęcie kontroli nad stroną internetową poprzez stworzenie fałszywego konta administratora. Problem dotyczy wersji 4.3.0 i 4.3.1, a jego wykorzystanie nie wymaga zaawansowanych działań technicznych, wystarczy, że zalogowany użytkownik otworzy spreparowany link, na przykład zawarty w mailu czy czacie. Zidentyfikowana przez badacza o pseudonimie “Saggre” luka została już załatana w wersji 4.3.2 pluginu.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Wtyczka Elementor Website Builder dla WordPressa posiada krytyczną lukę CSRF, która umożliwia atakującemu przejęcie kontroli nad stroną internetową poprzez stworzenie fałszywego konta administratora. Problem dotyczy wersji 4.3.0 i 4.3.1, a jego wykorzystanie nie wymaga zaawansowanych działań technicznych, wystarczy, że zalogowany użytkownik otworzy spreparowany link, na przykład zawarty w mailu czy czacie. Zidentyfikowana przez badacza o pseudonimie “Saggre” luka została już załatana w wersji 4.3.2 pluginu.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Złośliwi aktorzy już kilka godzin po publicznym ujawnieniu zaczęli aktywnie wykorzystywać krytyczną lukę bezpieczeństwa w WordPress, oznaczoną jako CVE-2026-87902 (CVSS 9.2), która umożliwia nieautoryzowany zdalny wykonanie kodu (RCE). Skuteczne wykorzystanie tej podatności wymaga spełnienia dwóch warunków: aktywny motyw musi posiadać katalog nadrzędny rozpoczynający się od ‘page-’ oraz musi istnieć czytelny plik PHP na serwerze, co może prowadzić do kompromitacji systemu. Firmy zajmujące się bezpieczeństwem odnotowały liczne próby ataków pochodzące z różnych lokalizacji, co podkreśla pilną potrzebę aktualizacji systemów WordPress do wersji 7.1.2 lub nowszej.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Złośliwi aktorzy już kilka godzin po publicznym ujawnieniu zaczęli aktywnie wykorzystywać krytyczną lukę bezpieczeństwa w WordPress, oznaczoną jako CVE-2026-87902 (CVSS 9.2), która umożliwia nieautoryzowany zdalny wykonanie kodu (RCE). Skuteczne wykorzystanie tej podatności wymaga spełnienia dwóch warunków: aktywny motyw musi posiadać katalog nadrzędny rozpoczynający się od ‘page-’ oraz musi istnieć czytelny plik PHP na serwerze, co może prowadzić do kompromitacji systemu. Firmy zajmujące się bezpieczeństwem odnotowały liczne próby ataków pochodzące z różnych lokalizacji, co podkreśla pilną potrzebę aktualizacji systemów WordPress do wersji 7.1.2 lub nowszej.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

WordPress wydał pilną łatkę bezpieczeństwa (w wersji 7.1.2 i starszych od 4.7) adresującą krytyczną lukę, która pozwala atakującemu bez konta na stronie załadować plik PHP spoza folderów motywu, co na niektórych serwerach może prowadzić do wykonania dowolnego kodu. Luka, oznaczona jako CVE-2026-87902 z oceną CVSS 9.2, wpływa na wersje od 4.7.0 do 7.1.1 i wymaga od administratorów natychmiastowej aktualizacji, ponieważ nie istnieje obejście poza wprowadzeniem łaty.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

WordPress wydał pilną łatkę bezpieczeństwa (w wersji 7.1.2 i starszych od 4.7) adresującą krytyczną lukę, która pozwala atakującemu bez konta na stronie załadować plik PHP spoza folderów motywu, co na niektórych serwerach może prowadzić do wykonania dowolnego kodu. Luka, oznaczona jako CVE-2026-87902 z oceną CVSS 9.2, wpływa na wersje od 4.7.0 do 7.1.1 i wymaga od administratorów natychmiastowej aktualizacji, ponieważ nie istnieje obejście poza wprowadzeniem łaty.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Nowa luka w rdzeniu WordPress, nazwana Comment2Shell i oznaczona jako CVE-2026-93485, umożliwiała anonimowemu użytkownikowi wstawienie ukrytego skryptu do komentarza, który po otwarciu strony przez zalogowanego administratora mógł pozwolić na wykonanie kodu po stronie serwera. Podatność ta istniała w luce między etapem sprawdzania a formatowania komentarza, a trafiła do WordPress w wersji 7.1.1 dnia 17 września, gdzie została naprawiona. Choć nie odnotowano jej aktywnego wykorzystania w atakach, była oceniona na 7.1/10 w skali CVSS, a możliwość jej obejścia była możliwa nawet przy włączonej moderacji komentarzy.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Nowa luka w rdzeniu WordPress, nazwana Comment2Shell i oznaczona jako CVE-2026-93485, umożliwiała anonimowemu użytkownikowi wstawienie ukrytego skryptu do komentarza, który po otwarciu strony przez zalogowanego administratora mógł pozwolić na wykonanie kodu po stronie serwera. Podatność ta istniała w luce między etapem sprawdzania a formatowania komentarza, a trafiła do WordPress w wersji 7.1.1 dnia 17 września, gdzie została naprawiona. Choć nie odnotowano jej aktywnego wykorzystania w atakach, była oceniona na 7.1/10 w skali CVSS, a możliwość jej obejścia była możliwa nawet przy włączonej moderacji komentarzy.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Odkryto nową lukę w WordPress, nazwaną Click2Shell, która umożliwia atakującym zainstalowanie wybranego motywu z katalogu WordPress.org bez interakcji ze strony administratora, a w połączeniu z inną słabością w motywie, pozwala na wykonanie dowolnego kodu na serwerze. Luka została załatana w WordPress 7.1.1, a eksperci zalecają natychmiastową aktualizację, mimo że nie odnotowano jeszcze jej aktywnego wykorzystania w rzeczywistych atakach.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto nową lukę w WordPress, nazwaną Click2Shell, która umożliwia atakującym zainstalowanie wybranego motywu z katalogu WordPress.org bez interakcji ze strony administratora, a w połączeniu z inną słabością w motywie, pozwala na wykonanie dowolnego kodu na serwerze. Luka została załatana w WordPress 7.1.1, a eksperci zalecają natychmiastową aktualizację, mimo że nie odnotowano jeszcze jej aktywnego wykorzystania w rzeczywistych atakach.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Wykryto masowe ataki na wtyczkę WooCommerce Wholesale Lead Capture dla WordPressa, która ma ponad 6000 aktywnych instalacji. Luka CVE-2026-27540 z krytycznym wynikiem CVSS 9.8 pozwala nieautoryzowanym atakującym na przesłanie dowolnych plików, w tym PHP backdoors, co prowadzi do zdalnego wykonania kodu. Wordfence zablokował ponad 100 000 prób ataków od czerwca 2026 roku, a podobne luki wykryto wtyczkach “The Events Calendar”, które mogą prowadzić do przejęcia kontroli nad stroną.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Wykryto masowe ataki na wtyczkę WooCommerce Wholesale Lead Capture dla WordPressa, która ma ponad 6000 aktywnych instalacji. Luka CVE-2026-27540 z krytycznym wynikiem CVSS 9.8 pozwala nieautoryzowanym atakującym na przesłanie dowolnych plików, w tym PHP backdoors, co prowadzi do zdalnego wykonania kodu. Wordfence zablokował ponad 100 000 prób ataków od czerwca 2026 roku, a podobne luki wykryto wtyczkach “The Events Calendar”, które mogą prowadzić do przejęcia kontroli nad stroną.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

WordPress wprowadza automatyczny system przeglądu bezpieczeństwa dla każdej wydawanej wtyczki, analizując ją pod kątem potencjalnych zagrożeń przed dystrybucją. Celem tej inicjatywy jest zapobieganie udostępnianiu złośliwego kodu poprzez mechanizm aktualizacji, co zamyka lukę bezpieczeństwa między zatwierdzeniem kodu a jego udostępnieniem użytkownikom. System wykorzystuje sztuczną inteligencję i narzędzie Jetpack Scan do analizy zmian i przypisywania im oceny ryzyka, blokując automatycznie te o wysokim wskaźniku.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

WordPress wprowadza automatyczny system przeglądu bezpieczeństwa dla każdej wydawanej wtyczki, analizując ją pod kątem potencjalnych zagrożeń przed dystrybucją. Celem tej inicjatywy jest zapobieganie udostępnianiu złośliwego kodu poprzez mechanizm aktualizacji, co zamyka lukę bezpieczeństwa między zatwierdzeniem kodu a jego udostępnieniem użytkownikom. System wykorzystuje sztuczną inteligencję i narzędzie Jetpack Scan do analizy zmian i przypisywania im oceny ryzyka, blokując automatycznie te o wysokim wskaźniku.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Aktywność cyberprzestępców nasila się w związku z wykorzystaniem dwóch krytycznych luk bezpieczeństwa w popularnych wtyczkach WordPress: Super Forms (CVE-2026-14894, CVSS 9.8) i Elementor Pro (CVE-2026-32475, CVSS 9.0/9.8). Luki te umożliwiają nieautoryzowanym atakującym wgrywanie dowolnych typów plików, w tym plików PHP, prowadząc do wykonania kodu po stronie serwera i potencjalnego przejęcia kontroli nad witryną. Wordfence odnotował zablokowanie ponad 250 000 i 190 000 prób exploitacji dla wspomnianych luk.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Aktywność cyberprzestępców nasila się w związku z wykorzystaniem dwóch krytycznych luk bezpieczeństwa w popularnych wtyczkach WordPress: Super Forms (CVE-2026-14894, CVSS 9.8) i Elementor Pro (CVE-2026-32475, CVSS 9.0/9.8). Luki te umożliwiają nieautoryzowanym atakującym wgrywanie dowolnych typów plików, w tym plików PHP, prowadząc do wykonania kodu po stronie serwera i potencjalnego przejęcia kontroli nad witryną. Wordfence odnotował zablokowanie ponad 250 000 i 190 000 prób exploitacji dla wspomnianych luk.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Odkryto krytyczne luki bezpieczeństwa w popularnych wtyczkach i motywach WordPressa, takich jak WPMU DEV Dashboard, Avada, TranslatePress, Pods i GiveWP. Wady te, z ocenami CVSS od 9.8 do 10.0, mogą prowadzić do obejścia uwierzytelniania, przejęcia kont administratora, a nawet zdalnego wykonania kodu na serwerze, co w efekcie umożliwia pełne przejęcie kontroli nad stroną internetową. Zaleca się natychmiastowe zaktualizowanie zainfekowanych komponentów.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Odkryto krytyczne luki bezpieczeństwa w popularnych wtyczkach i motywach WordPressa, takich jak WPMU DEV Dashboard, Avada, TranslatePress, Pods i GiveWP. Wady te, z ocenami CVSS od 9.8 do 10.0, mogą prowadzić do obejścia uwierzytelniania, przejęcia kont administratora, a nawet zdalnego wykonania kodu na serwerze, co w efekcie umożliwia pełne przejęcie kontroli nad stroną internetową. Zaleca się natychmiastowe zaktualizowanie zainfekowanych komponentów.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Wtyczka miniOrange SAML 2.0 Single Sign On dla WordPress posiada dwie krytyczne luki pozwalające na obejście uwierzytelniania i uzyskanie dostępu administratora. Luki, oznaczone jako CVE-2026-61979 (CVSS 8.1) i CVE-2026-15981 (CVSS 9.8), umożliwiają atakującym zalogowanie się jako dowolny użytkownik poprzez spreparowanie fałszywej odpowiedzi SAML z niepoprawnym podpisem, co prowadzi do nadania uprawnień administratora.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Wtyczka miniOrange SAML 2.0 Single Sign On dla WordPress posiada dwie krytyczne luki pozwalające na obejście uwierzytelniania i uzyskanie dostępu administratora. Luki, oznaczone jako CVE-2026-61979 (CVSS 8.1) i CVE-2026-15981 (CVSS 9.8), umożliwiają atakującym zalogowanie się jako dowolny użytkownik poprzez spreparowanie fałszywej odpowiedzi SAML z niepoprawnym podpisem, co prowadzi do nadania uprawnień administratora.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Krytyczna luka w popularnym wtyczce Elementor Pro dla WordPressa (CVE-2026-32475) pozwala nieautoryzowanym atakującym na zdalne wykonanie kodu. Luka związana z nieograniczonym przesyłaniem plików przez moduł formularzy pozwala na wgranie skryptów PHP do publicznych katalogów, co skutkuje pełną kontrolą nad zainfekowaną stroną. Wydawca udostępnił już łatkę (wersja 4.2.2).

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Krytyczna luka w popularnym wtyczce Elementor Pro dla WordPressa (CVE-2026-32475) pozwala nieautoryzowanym atakującym na zdalne wykonanie kodu. Luka związana z nieograniczonym przesyłaniem plików przez moduł formularzy pozwala na wgranie skryptów PHP do publicznych katalogów, co skutkuje pełną kontrolą nad zainfekowaną stroną. Wydawca udostępnił już łatkę (wersja 4.2.2).

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Grupa StopAndProtect wykorzystuje tysiące zhakowanych stron WordPress jako infrastrukturę do dystrybucji złośliwego oprogramowania, kradzieży danych i prowadzenia operacji szpiegowskich. Kampania, wykryta przez Check Point Research, rozpoczyna się od ataków socjotechnicznych ClickFix, prowadzących do wdrożenia złożonego zestawu narzędzi, w tym ransomware, robaków sieciowych i narzędzi do kradzieży informacji, wykorzystując luki w nieaktualizowanych wersjach WordPress.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Grupa StopAndProtect wykorzystuje tysiące zhakowanych stron WordPress jako infrastrukturę do dystrybucji złośliwego oprogramowania, kradzieży danych i prowadzenia operacji szpiegowskich. Kampania, wykryta przez Check Point Research, rozpoczyna się od ataków socjotechnicznych ClickFix, prowadzących do wdrożenia złożonego zestawu narzędzi, w tym ransomware, robaków sieciowych i narzędzi do kradzieży informacji, wykorzystując luki w nieaktualizowanych wersjach WordPress.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Wtyczka Forminator Forms dla WordPressa, z ponad 600 000 aktywnych instalacji, posiada krytyczną lukę bezpieczeństwa (CVE-2026-15748) z oceną 9.8/10. Atakujący bez uwierzytelnienia mogą wykorzystać ją do przesłania dowolnych plików, w tym PHP, co prowadzi do zdalnego wykonania kodu i pełnego przejęcia kontroli nad witryną. Działa to poprzez możliwość przesłania złośliwego pliku PHP w formularzach zawierających pole “File Upload” i “Select”, obchodząc mechanizmy bezpieczeństwa, zwłaszcza gdy administrator skonfiguruje niestandardowe miejsce przechowywania plików.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Wtyczka Forminator Forms dla WordPressa, z ponad 600 000 aktywnych instalacji, posiada krytyczną lukę bezpieczeństwa (CVE-2026-15748) z oceną 9.8/10. Atakujący bez uwierzytelnienia mogą wykorzystać ją do przesłania dowolnych plików, w tym PHP, co prowadzi do zdalnego wykonania kodu i pełnego przejęcia kontroli nad witryną. Działa to poprzez możliwość przesłania złośliwego pliku PHP w formularzach zawierających pole “File Upload” i “Select”, obchodząc mechanizmy bezpieczeństwa, zwłaszcza gdy administrator skonfiguruje niestandardowe miejsce przechowywania plików.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)