2026. október során 1285 új WordPress-sebezhetőség (CVE) jelent meg a NIST NVD adatbázisában – ebből 81 kritikus és 419 magas súlyosságú. Összegyűjtöttük azokat, amelyek népszerű (legalább 10 ezer oldalon futó) bővítményeket érintenek, és ezért a legnagyobb a kockázatuk.
A jelentés automatikusan készül a nyilvános CVE-adatokból és a wordpress.org telepítési számaiból; minden tételnél a hivatalos CVE-leírás az irányadó.
A hónap legfontosabb sebezhetőségei
| Bővítmény / sablon | Telepítés | Súlyosság | Típus | Érintett verziók | CVE |
|---|---|---|---|---|---|
| Click to Chat – HoliThemes | 600 ezer+ | kritikus (9.1) | kódbefecskendezés (távoli kódfuttatás) – bejelentkezés nélkül kihasználható | ≤ 4.44 | CVE-2026-92097 |
| Blocksy Companion | 300 ezer+ | kritikus (9.1) | jogosultság-kiterjesztés – bejelentkezés nélkül kihasználható | ≤ 2.1.58 | CVE-2026-107645 |
| Popup Builder – Create highly converting, mobile friendly marketing popups. | 200 ezer+ | kritikus (9.1) | hiányzó jogosultság-ellenőrzés – bejelentkezés nélkül kihasználható | ≤ 4.4.5 | CVE-2026-89270 |
| LearnPress – WordPress LMS Plugin for Create and Sell Online Courses | 70 ezer+ | kritikus (9.8) | nem biztonságos deszerializálás (PHP Object Injection) – bejelentkezés nélkül kihasználható | ≤ 4.4.10 | CVE-2026-104736 |
| Jupiter X Core | 70 ezer+ | kritikus (9.8) | hitelesítés megkerülése – bejelentkezés nélkül kihasználható | ≤ 4.61.0 | CVE-2026-106013 |
| 10Web Booster – Website speed optimization, Cache & Page Speed optimizer | 60 ezer+ | kritikus (9.8) | veszélyes fájlfeltöltés – bejelentkezés nélkül kihasználható | ≤ 2.34.10 | CVE-2026-108587 |
| Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress | 100 ezer+ | kritikus (9.1) | kódbefecskendezés (távoli kódfuttatás) – bejelentkezés nélkül kihasználható | ≤ 5.7.0 | CVE-2026-92966 |
| Beaver Builder Page Builder – Drag and Drop Website Builder | 100 ezer+ | kritikus (9.1) | kódbefecskendezés (távoli kódfuttatás) – bejelentkezés nélkül kihasználható | ≤ 2.11.0.5 | CVE-2026-92084 |
| Rank Math SEO – AI SEO Tools to Dominate SEO Rankings | 4 millió+ | magas (8.8) | nem biztonságos deszerializálás (PHP Object Injection) | ≤ 1.0.276 | CVE-2026-1928 |
| Essential Addons for Elementor – Popular Elementor Templates & Widgets | 1 millió+ | magas (7.4) | jogosultság-kiterjesztés – bejelentkezés nélkül kihasználható | ≤ 6.8.7 | CVE-2026-118205 |
| ProfilePress – Paid Membership, Online Courses (LMS), Ecommerce, User Registration & Login Form, User Profile & Restrict Content | 100 ezer+ | magas (8.8) | kódbefecskendezés (távoli kódfuttatás) – bejelentkezés nélkül kihasználható | ≤ 4.17.4 | CVE-2026-92536 |
| Forminator Forms – Contact Form, Payment Form & Custom Form Builder | 600 ezer+ | magas (7.5) | közvetlen objektumhivatkozás (IDOR) – bejelentkezés nélkül kihasználható | ≤ 1.57.3.1 | CVE-2026-97638 |
| Complianz GDPR/CCPA Cookie Consent Banner | 1 millió+ | magas (7.2) | webhelyek közötti szkriptelés (XSS) – bejelentkezés nélkül kihasználható | ≤ 7.5.5 | CVE-2026-97339 |
| W3 Total Cache | 900 ezer+ | magas (7.2) | webhelyek közötti szkriptelés (XSS) – bejelentkezés nélkül kihasználható | ≤ 2.10.6 | CVE-2026-87920 |
| Autoptimize | 800 ezer+ | magas (7.2) | webhelyek közötti szkriptelés (XSS) – bejelentkezés nélkül kihasználható | ≤ 3.1.15.1 | CVE-2026-14995 |
Milyen típusú hibák voltak a leggyakoribbak?
- Webhelyek közötti szkriptelés (XSS): 457 db
- Hiányzó jogosultság-ellenőrzés: 175 db
- SQL-befecskendezés: 89 db
- Érzékeny adat kiszivárgása: 88 db
- Egyéb: 58 db
- Közvetlen objektumhivatkozás (IDOR): 57 db
- Jogosultság-kiterjesztés: 56 db
- Hitelesítés megkerülése: 56 db
Mit tegyen most?
- Frissítsen: ha a fenti bővítmények bármelyikét használja, frissítse a legújabb verzióra (a javított verzió az érintett tartomány felett van).
- Töröljön, ami nem kell: a kikapcsolt, de telepítve hagyott bővítmény is sebezhető lehet.
- Ellenőrizze kívülről: ingyenes Biztonsági röntgenünk felismeri a kívülről látható bővítményeket, és összeveti őket a sérülékenységi adatbázissal.
- Bízza ránk: WordPress-üzemeltetésünkben a frissítéseket felügyelettel végezzük – és ha nálunk mégis feltörnek egy oldalt, ingyen helyreállítjuk.
Szeretné havonta megkapni ezt a jelentést e-mailben? Iratkozzon fel ingyenes hírlevelünkre →
Forrás: NIST National Vulnerability Database (nvd.nist.gov), wordpress.org. A súlyosság a CVSS 3.1 pontszám alapján.
