Checkout Files Upload за WooCommerce приема файлове от всеки
Checkout Files Upload за WooCommerce приема и PHP файлове от посетители без акаунт. Проверете настройката за видовете файлове и обновете до 2.4.1.
Какво се случва
Новини
Уязвимостите, новите версии и промените, които засягат WordPress сайтовете, и какво да направите веднага.
Contact Form 7 позволява качване на файлове без вход
Contact Form 7 от 6.2 до 6.2.3 позволява на човек без акаунт да качи файл на сървъра през поле за файл във форма. Проверете версията и обновете до 6.2.4.1.
Какво значи уязвимостта HTTP2Shell за сайтовете с WordPress?
HTTP2Shell е критична грешка в Brotli, която стига до WordPress през сървъра. Вижте кой трябва да я поправи, как да проверите сайта и какво да питате хостинга.
Rank Math SEO поправя пробив до изпълнение на код на сървъра
Уязвимост в Rank Math SEO до 1.0.276 позволява на акаунт от сътрудник нагоре да пусне свой код на сървъра. Проверете версията и потребителите и обновете.
WooPayments пуска поправка за абонаментите във всички версии
WooCommerce поправи проблем в абонаментите на WooPayments във всеки клон от 9.0 нагоре. Проверете версията в магазина и в staging и обновете до поправката.
CISA потвърди атаки срещу пролука в обновяването на WordPress
Пролука в обновяването на ядрото на WordPress вече се атакува. Блокирайте папката wp-content/upgrade и обновете до 7.1.4 или до поправката за Вашия клон.
Три уязвимости в ACF Extended, обновете до версия 0.9.2.8
Три уязвимости в ACF Extended и ACF Extended PRO позволяват на посетител без акаунт да превземе сайта през форма. Проверете версията и обновете до 0.9.2.8.
GTM Server Side показва чужди поръчки, обновете до 2.1.48
Уязвимост в GTM Server Side на Stape позволява на непознат да види чужди поръчки с имената, адреса и телефона на клиента. Проверете версията и обновете.
Kirki позволява повишаване на правата, проверете версията
Уязвимост в плъгина Kirki позволява на всеки регистриран потребител да поеме акаунта на администратор. Проверете версията и обновете до 6.4.0.
LiteSpeed Cache 7.9.2 поправя две уязвимости в оптимизацията
Две уязвимости в LiteSpeed Cache позволяват на посетител без акаунт да вкара скрипт през коментар. Проверете версията и настройките и обновете до 7.9.2.
Плъгинът за бекъп Prime Mover има критична уязвимост 9.8
Уязвимост в Prime Mover позволява атака без акаунт чрез коментар, която се задейства при експорт на сайта. Проверете версията и обновете плъгина до 2.2.2.
PHP2Shell, как да проверите и обновите WordPress сайта
PHP2Shell са две критични уязвимости в самия PHP. Вижте коя версия е поправена, проверете Вашия WordPress сайт и разберете какво да попитате хостинга.
PHP пусна критични поправки на 21 октомври, проверете сайта
PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35 поправят две критични уязвимости. Вижте с коя версия работи сайтът Ви и попитайте хостинга дали е обновил PHP.
Атака през UpdraftPlus слага скрит админ, изтрийте ключа
Нападатели качват плъгин със задна врата в сайтове с UpdraftPlus чрез откраднати ключове за UpdraftCentral. Проверете сайта, обновете и изтрийте ключа.
WordPress 7.2 Beta 1 носи Secrets API и по-бърз админ
WordPress 7.2 Beta 1 излезе на 20 октомври. Вижте какво носи на собствениците на сайтове и как да изпробвате бетата на копие на сайта преди 8 декември.
WooCommerce плъгини за плащане приемат фалшиви потвърждения
Над десет плъгина за плащане, повечето за WooCommerce, приемат подправено известие, че поръчката е платена. Обновете модула си и сверявайте поръчките с банката.
Rank Math PRO 3.0.123 е разпространяван със задна врата
Част от копията на Rank Math PRO 3.0.123, изтеглени на 15 и 16 октомври, съдържат задна врата. Проверете версията и следите и обновете до 3.0.124.
Abandoned Cart Pro за WooCommerce позволява вход като админ
Уязвимост в Abandoned Cart Pro за WooCommerce позволява вход като администратор чрез подправен линк. Проверете версията и обновете до 10.8.1 или по-нова.
Нова уязвимост в Avada показва данни на клиенти без вход
Уязвимост в Avada Builder позволява на посетител без вход да прочете имейла на администратора и данните на клиентите. Проверете версията и обновете до 3.16.2.
WordPress се готви за съвместно редактиране в реално време
Съвместното редактиране в реално време не е в плановете за WordPress 7.2. Вижте докъде е стигнало, какво ще иска от сървъра и как да го изпробвате на staging.
Уязвимост в Ghostscript засяга сайтове, които приемат PDF
Уязвимост в Ghostscript позволява изпълнение на код на сървъра през качен PDF. Вижте дали сайтът Ви прави прегледи на PDF и поискайте поправения пакет.
Уязвимост в Avada позволява изтриване от кошчето без вход
Уязвимост в Avada Builder позволява на посетител без вход да изтрие завинаги съдържание от кошчето. Проверете версията и обновете до 3.16.2 или по-нова.
Атакуват сайтове с Bricksforge, обновете плъгина веднага
Уязвимост в Bricksforge позволява качване на файл и изпълнение на PHP код без вход. Атаки има от 7 октомври 2026. Проверете версията и PHP файловете в uploads.
Let's Encrypt минава на 64-дневни сертификати от 2027
От 10 февруари 2027 г. сертификатите на Let's Encrypt са за 64 дни по подразбиране. Вижте кой трябва да направи нещо и как да проверите сертификата на сайта си.
Какво променя WooCommerce 11.2 в сигурността на магазина?
WooCommerce 11.2 от 7 октомври 2026 затяга защитата на имейлите и изтеглянията и ограничава правата на мениджърите. Вижте какво се променя и какво да проверите.
Атака през Ninja Forms и WPC Product Bundles скрива админ
Кампания през Ninja Forms и WPC Product Bundles създава скрит администратор в WordPress. Вижте кои версии са засегнати, какво да проверите и как да обновите.
WordPress 7.1.3 поправя седем проблема със сигурността
WordPress 7.1.3 от 6 октомври 2026 поправя седем проблема със сигурността и четири грешки. Вижте какво е в обновлението, проверете версията и обновете сайта си.
WooCommerce ще иска PHP 8.1 или по-нова от версия 11.6
WooCommerce 11.6, планирана за февруари 2027, ще изисква PHP 8.1 или по-нова. Вижте версията в WooCommerce > Status и планирайте смяната на PHP навреме.
PHP 8.2 спира да се поддържа на 31 декември, проверете сайта
PHP 8.2 получава поправки за сигурност само до 31 декември 2026. Вижте в Site Health с коя версия работи сайтът и планирайте преминаване на 8.3 или по-нова.
WordPress 7.1.2 затваря критична дупка, обновете веднага
WordPress 7.1.2 затваря критична дупка (CVE-2026-87902) във всички версии от 4.7 до 7.1.1. Вижте поправената версия за Вашия клон и обновете сайта още днес.
Chrome 154 вече предупреждава за сайтове без HTTPS
От 22 септември Chrome 154 пита посетителя, преди да отвори публичен сайт без HTTPS. Проверете сертификата и пренасочването на сайта си с една команда.
Критични дупки в The Events Calendar, обновете до 6.17.4.1
Две дупки в The Events Calendar позволяват изпълнение на код без акаунт в сайта. Проверете версията в Plugins и обновете плъгина до 6.17.4.1 още днес.