Уязвимости плагинов, тем и ядра WordPress — обновлено 06.11.2026 10:36. Данные обновляются каждый час. Ok2web Scanner сверяет с этой базой установленные на сайте плагины и темы.
43 634всего уязвимостей
2 906критических
11 239с ПО без исправления
28заражений: бэкдоры в версиях5 557закрыто на wordpress.org за безопасность1 891новых за 30 дней
18 719плагинов и тем затронуто
Найдено: 43 634
Средняя · 5.4без входа на сайт
Межсайтовый скриптинг (XSS)RSS Aggregator by Feedzy <= 5.2.13 — Unauthenticated Stored Cross-Site Scripting via Feed Item Title
- Плагин RSS Aggregator by Feedzy – Feed to Post, Autoblogging, News & YouTube Video Feeds Aggregator — уязвимы версии ≤ 5.2.13. Исправлено в 5.2.14.
Средняя · 6.5нужен вход на сайт
Доступ к чужим данным подменой ID (IDOR)Everest Forms <= 3.6.2 — Insecure Direct Object Reference to Authenticated (Custom+) Arbitrary Entry/Form Disclosure and Deletion via MCP /tools/call JSON-RPC Endpoint
- Плагин Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI — уязвимы версии ≤ 3.6.2. Исправлено в 3.6.3.
Критическая · 9.1без входа на сайт
Выход за пределы папки (Path Traversal)ELEX WordPress HelpDesk & Customer Ticketing System <= 3.3.8 — Unauthenticated Arbitrary File Deletion via 'ticket_attachment_path' Parameter
- Плагин ELEX WordPress HelpDesk & Customer Ticketing System — уязвимы версии ≤ 3.3.8. Исправлено в 3.3.9.
Высокая · 7.5без входа на сайт
Внедрение PHP-объекта (десериализация)WPSyncSheets For Contact Form 7 <= 1.8.0 — Unauthenticated PHP Object Injection to Remote Code Execution via Untrusted CF7 Submission Field via maybe_unserialize()
- Плагин WPSyncSheets For Contact Form 7 – CF7 Google Sheets Connector & Save to Database — уязвимы версии ≤ 1.8.0. Исправлено в 1.8.1.
Средняя · 6.4нужен вход: подписчик и выше
Межсайтовый скриптинг (XSS)WP Customer Area <= 8.4.0 — Authenticated (Subscriber+) Stored Cross-Site Scripting via 'display_name' Parameter
- Плагин WP Customer Area — уязвимы версии ≤ 8.4.0. Исправлено в 8.4.1.
Средняя · 5.4без входа на сайт
Межсайтовый скриптинг (XSS)Smart Cookie Kit <= 2.3.2 — Unauthenticated Stored Cross-Site Scripting via Comment Content via Bundled Simple HTML DOM Noise Restoration
- Плагин Smart Cookie Kit — уязвимы версии ≤ 2.3.2. Исправления нет.
Высокая · 8.1без входа на сайт
Загрузка опасного файлаLive2DWebCanvas <= 2.2.1 — Unauthenticated Arbitrary File Upload via 'modelApi' Parameter
- Плагин Live2DWebCanvas — уязвимы версии ≤ 2.2.1. Исправления нет.
Высокая · 7.6нужен вход: подписчик и выше
Повышение правPubjet | پابجت <= 5.4.8 — Authenticated (Subscriber+) Privilege Escalation to 'check-token' AJAX Action
- Плагин Pubjet | پابجت — уязвимы версии ≤ 5.4.8. Исправления нет.
Критическая · 9.8без входа на сайт
Повышение правBuddyForms <= 2.10.5 — Unauthenticated Privilege Escalation to Form-Type Confusion via 'bf_post_type' Parameter
- Плагин BuddyForms — уязвимы версии ≤ 2.10.5. Исправлено в 2.10.6.
Средняя · 6.4нужен вход: подписчик и выше
Межсайтовый скриптинг (XSS)All-in-One Video Gallery <= 5.0.0 — Authenticated (Subscriber+) Stored DOM-Based Cross-Site Scripting via 'track' Post Meta 'label' Field
- Плагин All-in-One Video Gallery – Video Player & Galleries for YouTube, Vimeo & Self-Hosted Videos — уязвимы версии ≤ 5.0.0. Исправлено в 5.1.0.
Средняя · 5.4без входа на сайт
Межсайтовый скриптинг (XSS)BuddyForms <= 2.10.5 — Unauthenticated Stored Cross-Site Scripting via 'bf_post_type' Parameter via Post-Type Confusion
- Плагин BuddyForms — уязвимы версии ≤ 2.10.5. Исправлено в 2.10.6.
Высокая · 8.8нужен вход: подписчик и выше
Повышение правAdvanced Members for ACF <= 1.3.0 — Authenticated (Subscriber+) Privilege Escalation via Account Change-Password Form
- Плагин Advanced Members for ACF — уязвимы версии ≤ 1.3.0. Исправлено в 1.3.1.
Средняя · 4.9нужен вход: подписчик и выше
Межсайтовый скриптинг (XSS)AAA Autoload Optimizer <= 1.7.0 — Authenticated (Subscriber+) Stored Cross-Site Scripting via 'option_page' Parameter via 'all' Hook
- Плагин AAA Autoload Optimizer — уязвимы версии ≤ 1.7.0. Исправлено в 1.7.1.
Средняя · 5.4нужен вход: подписчик и выше
Внедрение кодаAMP for WP <= 1.1.18 — Authenticated (Subscriber+) Arbitrary Shortcode Execution via Author Biographical Info
- Плагин AMP for WP – Accelerated Mobile Pages — уязвимы версии ≤ 1.1.18. Исправлено в 1.1.19.
Средняя · 4.9нужен вход: администратор
SQL-инъекцияYaySMTP <= 2.7.8 — Authenticated (Administrator+) SQL Injection via 'params[searchKey]' Parameter
- Плагин YaySMTP – WP Mail SMTP with Email Logs, Tracking & Reports — уязвимы версии ≤ 2.7.8. Исправлено в 2.7.9.
Средняя · 6.4нужен вход: подписчик и выше
Межсайтовый скриптинг (XSS)WP User Manager <= 2.10.2 — Authenticated (Subscriber+) Stored Cross-Site Scripting via 'display_name' User Meta
- Плагин WP User Manager – Registration Form, Login Form, User Profile Builder & Member Directory — уязвимы версии ≤ 2.10.2. Исправлено в 2.10.3.
Средняя · 5.3без входа на сайт
Нет проверки правRedirection for Contact Form 7 <= 3.2.14 — Missing Authorization to Unauthenticated Arbitrary Post Meta Modification and Arbitrary File Copy via 'wpcf7-redirect' Parameter
- Плагин Redirection for Contact Form 7 — уязвимы версии ≤ 3.2.14. Исправлено в 3.2.15.
Высокая · 7.2без входа на сайт
Межсайтовый скриптинг (XSS)MDTF <= 1.4.1 — Unauthenticated Stored Cross-Site Scripting via 'vars' Parameter
- Плагин MDTF – Meta Data and Taxonomies Filter — уязвимы версии ≤ 1.4.1. Исправлено в 1.4.2.
Средняя · 6.5нужен вход: подписчик и выше
Нет проверки правEventin <= 4.1.29 — Missing Authorization to Authenticated (Subscriber+) Sensitive Information Exposure via 'id' Parameter
- Плагин Eventin – Events Calendar, Tickets, Registration, Booking & WooCommerce — уязвимы версии ≤ 4.1.29. Исправлено в 4.1.30.
Средняя · 6.4нужен вход: участник и выше
Межсайтовый скриптинг (XSS)Wp Parsidate <= 6.4 — Authenticated (Contributor+) Stored Cross-Site Scripting via 'theme' Block Attribute
- Плагин Parsi Date | بسته فارسی ساز وردپرس و ووکامرس پارسی دیت — уязвимы версии ≤ 6.4. Исправлено в 6.5.
Средняя · 4.3нужен вход: подписчик и выше
Нет проверки правVOD Infomaniak <= 1.5.15 — Missing Authorization to Authenticated (Subscriber+) Unauthorized Video Importation via vodimportvideo AJAX Action
- Плагин VOD Infomaniak — уязвимы версии ≤ 1.5.15. Исправлено в 1.5.16.
Средняя · 6.4нужен вход: участник и выше
Межсайтовый скриптинг (XSS)UsersWP <= 1.2.80 — Authenticated (Contributor+) Stored Cross-Site Scripting via 'badge' Shortcode Attribute
- Плагин UsersWP – Front-end login form, User Registration, User Profile & Members Directory plugin for WP — уязвимы версии ≤ 1.2.80. Исправлено в 1.2.81.
Средняя · 6.5нужен вход: участник и выше
Нет проверки правTravelly <= 2.3.11 — Missing Authorization to Authenticated (Contributor+) Payment Gateway Credential Disclosure via edit_form_top Handler on Tour/Hotel Edit Screen
- Плагин Travelly – Tour & Travel Booking Manager for WooCommerce — уязвимы версии ≤ 2.3.11. Исправлено в 2.3.12.
Средняя · 6.4нужен вход: автор и выше
Межсайтовый скриптинг (XSS)Permalink Manager Lite <= 2.6.1 — Authenticated (Author+) Stored Cross-Site Scripting via Post Slug
- Плагин Permalink Manager Lite — уязвимы версии ≤ 2.6.1. Исправлено в 2.6.2.
Высокая · 7.2без входа на сайт
Межсайтовый скриптинг (XSS)Graphina <= 3.1.13 — Unauthenticated Stored Cross-Site Scripting via Tree Chart Widget Settings
- Плагин Graphina – Charts and Graphs For Elementor — уязвимы версии ≤ 3.1.13. Исправлено в 3.1.14.
Источник данных: Wordfence Intelligence. Названия уязвимостей приведены как в источнике (на английском).
Copyright 2012-2026 Defiant Inc. Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy. https://www.wordfence.com/wordfence-intelligence-terms-and-conditions/
Copyright 1999-2026 The MITRE Corporation CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. https://www.cve.org/Legal/TermsOfUse