Podatności w systemach e-commerce i buforowania
Wielu ataków dokonuje się poprzez automatyczne skanowanie znanych luk w oprogramowaniu. Zabezpieczenie środowiska wymaga regularnego śledzenia komunikatów o błędach i wdrażania oficjalnych łatek dostarczanych przez producentów.
Wtyczki WooCommerce i LiteSpeed Cache
W systemie WooCommerce wykryto podatność typu unauthenticated denial of service o numerze CVE-2026-48888, która dotyczy wersji poniżej 11.1.0 i pozwala na atak bez logowania. Taka sama instalacja o statusie do miliona użytkowników zmagała się z problemem SQL injection oznaczonym jako CVE-2026-57777, wymagającym uprawnień menedżera sklepu. Z kolei wtyczka LiteSpeed Cache w wersjach do 7.9 zawierała błąd server-side request forgery CVE-2026-84761 oraz refleksyjny cross-site scripting CVE-2026-76579. W obu przypadkach konieczna jest aktualizacja do wersji 7.9.1 lub wyższej.
Błędy w narzędziach formularzy i migracji
Popularne wtyczki do obsługi formularzy oraz kopii zapasowych również posiadały poważne błędy pozwalające na obejście zabezpieczeń i wykonywanie niedozwolonych operacji na bazie danych.
Podatności w WPForms i All-in-One WP Migration
Narzędzie WPForms w wersjach do 2.0.2 zawierało błąd unauthenticated arbitrary shortcode execution pod numerem CVE-2026-84744 oraz problem braku autoryzacji CVE-2026-74991. Z kolei All-in-One WP Migration and Backup w wersjach do 7.110 miało słabość credential protection w nagłówku autoryzacji oznaczoną jako CVE-2026-89064. Producent wydał wersję 7.111, która eliminuje te zagrożenia oraz podwyższanie uprawnień administratora CVE-2026-81810.
Zagrożenia w optymalizacji SEO i zabezpieczeniach
Narzędzia optymalizacyjne i zapory sieciowe instalowane na milionach stron WordPressa również wymagały pilnych łatek ze względu na ryzyko odsłonięcia wrażliwych danych.
Rank Math SEO i Really Simple Security
Wtyczka Rank Math SEO w wersjach poniżej 1.0.277 ujawniała informacje bez uwierzytelniania w ramach CVE-2026-77783 oraz posiadała błąd braku autoryzacji dla ról autora oznaczony jako CVE-2026-77784. Z kolei wtyczka Really Simple Security w wersjach do 9.8.0 zawierała groźne błędy ominięcia dwuskładnikowego uwierzytelniania CVE-2026-89080 oraz niekontrolowanego wzrostu opcji w bazie danych CVE-2026-88798, co wymagało przejścia na wersję 9.8.3.
Krytyczne błędy RCE w kalendarzach i formularzach
Najpoważniejsze luki prowadzące do zdalnego wykonania kodu wykryto w popularnych rozszerzeniach kalendarzy oraz formularzy kontaktowych.
The Events Calendar i Ninja Forms
Wtyczka The Events Calendar w wersjach do 6.17.4 posiadała podatności unauthenticated code injection oraz PHP object injection o numerach CVE-2026-78159 i CVE-2026-78006, które umożliwiały zdalne wykonanie kodu bez logowania. Podobne zagrożenie dotyczyło wtyczki Ninja Forms w wersji do 3.15.3, gdzie wykryto wstrzykiwanie obiektów PHP oznaczone jako CVE-2026-91827. Wszystkie te przypadki wymagają natychmiastowego podniesienia oprogramowania do najnowszych stabilnych wydań.