BẢN TIN BẢO MẬT WORDPRESS

Lỗ hổng WordPress mới công bố

Lỗ hổng mới công bố trong WordPress core và các plugin, giao diện từ 10.000 lượt cài, 30 ngày gần nhất. Site Care đối chiếu dữ liệu mỗi ngày và tóm tắt bằng tiếng Việt: phiên bản bị ảnh hưởng, đã có bản vá chưa, cách xử lý.

Cập nhật lúc 05:00, 30/10/2026 · 50 lỗ hổng
Thành phần
Cao trở lên
30 ngày
50 / 242 lỗ hổng
Formidable Forms Cao · 8.8 Lỗ hổng bảo mật · phiên bản đến 6.35 · 300.000+ lượt cài · 30/10/2026 Xem chi tiếtThu gọn

Lỗi bảo mật có thể bị khai thác; xem chi tiết ở link nguồn.

Đã có bản váCập nhật Formidable Forms – Contact Form, Survey, Quiz, Payment, Calculator Form & Custom Form Builder lên bản 7.0 trở lên.
Nguồn: Formidable Forms <= 6.35 - Authenticated (Subscriber+) Arbitrary Plugin Installation via 'file_url' Parameter · CVE-2026-89435 Website của bạn có dùng Formidable Forms? Kiểm tra ngay →
AI Engine Cao · 7.5 Thiếu kiểm tra quyền · phiên bản đến 3.8.6 · 90.000+ lượt cài · 30/10/2026 Xem chi tiếtThu gọn

Người không đủ quyền (thậm chí chưa đăng nhập) gọi được chức năng lẽ ra chỉ dành cho quản trị.

Đã có bản váCập nhật AI Engine – MCP Server & AI Chatbot for WordPress, with Claude, ChatGPT & Gemini lên bản 3.8.7 trở lên.
Nguồn: AI Engine – The Chatbot, AI Framework & MCP for WordPress <= 3.8.6 - Missing Authorization to Administrator Account Takeover via Unauthenticated MCP OAuth Client Registration · CVE-2026-110732 Website của bạn có dùng AI Engine? Kiểm tra ngay →
Export and Import Users and Customers Cao · 8.8 Leo thang quyền · phiên bản đến 2.7.5 · 50.000+ lượt cài · 29/10/2026 Xem chi tiếtThu gọn

Tài khoản quyền thấp (VD thành viên, khách hàng) tự nâng lên quản trị.

Đã có bản váCập nhật Export and Import Users and Customers lên bản 2.7.6 trở lên.
Nguồn: Export and Import Users and Customers <= 2.7.5 - Authenticated (Subscriber+) Privilege Escalation via CSV Escape-Character Mismatch in Export/Import Round Trip via Biographical Info Field · CVE-2026-104368 Website của bạn có dùng Export and Import Users and Customers? Kiểm tra ngay →
Newsmatic Cao · 7.5 Giao diện · SQL injection · phiên bản đến 1.5.0 · 10.000+ lượt cài · 29/10/2026 Xem chi tiếtThu gọn

Kẻ xấu gửi câu lệnh đọc / sửa trực tiếp cơ sở dữ liệu: có thể lộ dữ liệu khách hàng, tài khoản.

Đã có bản váCập nhật Newsmatic lên bản 1.5.1 trở lên.
Nguồn: Newsmatic <= 1.5.0 - Unauthenticated SQL Injection via 'slug' Parameter · CVE-2026-110184 Website của bạn có dùng Newsmatic? Kiểm tra ngay →
WordPress Cao · 8.1 WordPress core · Thực thi mã từ xa · phiên bản từ 4.7.0 đến 4.7.38; từ 4.8.0 đến 4.8.33; từ 4.9.0 đến 4.9.34 · 28/10/2026 Xem chi tiếtThu gọn

Chạy được lệnh tuỳ ý trên máy chủ: mức nguy hiểm cao nhất, chiếm toàn bộ website.

Đã có bản váCập nhật WordPress lên bản 4.7.39 trở lên.
Nguồn: WordPress Core 4.7.0 - 7.1.3 - Unauthenticated Upgrade-Window Staged-Installer Remote Code Execution Website của bạn có dùng WordPress? Kiểm tra ngay →
Menu Cart for WooCommerce Cao · 7.2 XSS (chèn mã script) · phiên bản trước 3.2.1 · 70.000+ lượt cài · 28/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật Menu Cart for WooCommerce lên bản 3.2.1 trở lên.
Nguồn: Menu Cart for WooCommerce < 3.2.1 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-105972 Website của bạn có dùng Menu Cart for WooCommerce? Kiểm tra ngay →
Prime Slider Cao · 7.2 XSS (chèn mã script) · phiên bản đến 4.7.2 · 100.000+ lượt cài · 28/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật Prime Slider – Hero Slider, Carousel, WooCommerce & Post Slider Elementor Addons lên bản 4.7.3 trở lên.
Nguồn: Prime Slider <= 4.7.2 - Unauthenticated Stored Cross-Site Scripting via Comment Content via Content_Guard Regex Quote-Escape · CVE-2026-111111 Website của bạn có dùng Prime Slider? Kiểm tra ngay →
AMP for WP Cao · 7.2 XSS (chèn mã script) · phiên bản đến 1.1.17 · 70.000+ lượt cài · 27/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật AMP for WP – Accelerated Mobile Pages lên bản 1.1.18 trở lên.
Nguồn: AMP for WP <= 1.1.17 - Unauthenticated Stored Cross-Site Scripting via 'headline-*' Shortcode Attribute · CVE-2026-97019 Website của bạn có dùng AMP for WP? Kiểm tra ngay →
Jupiter X Core Nghiêm trọng · 9.8 Lỗ hổng bảo mật · phiên bản đến 4.61.0 · 70.000+ lượt cài · 27/10/2026 Xem chi tiếtThu gọn

Lỗi bảo mật có thể bị khai thác; xem chi tiết ở link nguồn.

Đã có bản váCập nhật Jupiter X Core lên bản 4.62.0 trở lên.
Nguồn: Jupiter X Core <= 4.61.0 - Unauthenticated Authentication Bypass via Twitter/X Social Login oauth_verifier Parameter · CVE-2026-106013 Website của bạn có dùng Jupiter X Core? Kiểm tra ngay →
Rank Math SEO Cao · 8.8 PHP Object Injection · phiên bản đến 1.0.276 · 4+ triệu lượt cài · 27/10/2026 Xem chi tiếtThu gọn

Đưa dữ liệu độc vào chỗ giải mã đối tượng PHP: nếu có điều kiện kèm theo có thể chạy mã từ xa.

Đã có bản váCập nhật Rank Math SEO – AI SEO Tools to Dominate SEO Rankings lên bản 1.0.277 trở lên.
Nguồn: Rank Math SEO <= 1.0.276 - Authenticated (Contributor+) PHP Object Injection to Remote Code Execution · CVE-2026-1928 Website của bạn có dùng Rank Math SEO? Kiểm tra ngay →
Kirki Cao · 8.8 PHP Object Injection · phiên bản đến 6.2.5 · 500.000+ lượt cài · 27/10/2026 Xem chi tiếtThu gọn

Đưa dữ liệu độc vào chỗ giải mã đối tượng PHP: nếu có điều kiện kèm theo có thể chạy mã từ xa.

Đã có bản váCập nhật Kirki – Freeform Page Builder, Website Builder & Customizer lên bản 6.3.0 trở lên.
Nguồn: Kirki <= 6.2.5 - Authenticated (Subscriber+) PHP Object Injection to Administrator Account Takeover via 'get-single-symbol' AJAX Endpoint · CVE-2026-75891 Website của bạn có dùng Kirki? Kiểm tra ngay →
Analytics Insights Cao · 7.2 XSS (chèn mã script) · phiên bản đến 6.3.12 · 10.000+ lượt cài · 26/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật Analytics Insights – Google Analytics Dashboard for WordPress lên bản 6.4 trở lên.
Nguồn: Analytics Insights <= 6.3.12 - Unauthenticated Stored Cross-Site Scripting via GA4 Realtime Page Title · CVE-2026-111820 Website của bạn có dùng Analytics Insights? Kiểm tra ngay →
Advanced Custom Fields: Extended Cao · 7.3 Lỗ hổng bảo mật · phiên bản từ 0.9.2.7 đến 0.9.2.7 · 100.000+ lượt cài · 23/10/2026 Xem chi tiếtThu gọn

Lỗi bảo mật có thể bị khai thác; xem chi tiết ở link nguồn.

Đã có bản váCập nhật Advanced Custom Fields: Extended lên bản 0.9.2.8 trở lên.
Nguồn: Advanced Custom Fields: Extended 0.9.2.7 - Unauthenticated Arbitrary Non-Admin Account Takeover · CVE-2026-94262 Website của bạn có dùng Advanced Custom Fields: Extended? Kiểm tra ngay →
Advanced Custom Fields: Extended Nghiêm trọng · 9.8 Thiếu kiểm tra quyền · phiên bản từ 0.9.2.7 đến 0.9.2.7 · 100.000+ lượt cài · 23/10/2026 Xem chi tiếtThu gọn

Người không đủ quyền (thậm chí chưa đăng nhập) gọi được chức năng lẽ ra chỉ dành cho quản trị.

Đã có bản váCập nhật Advanced Custom Fields: Extended lên bản 0.9.2.8 trở lên.
Nguồn: Advanced Custom Fields: Extended 0.9.2.7 - Unauthenticated Privilege Escalation via Account Takeover · CVE-2026-94268 Website của bạn có dùng Advanced Custom Fields: Extended? Kiểm tra ngay →
Advanced Custom Fields: Extended Nghiêm trọng · 9.8 Thực thi mã từ xa · phiên bản trước 0.9.2.8 · 100.000+ lượt cài · 23/10/2026 Xem chi tiếtThu gọn

Chạy được lệnh tuỳ ý trên máy chủ: mức nguy hiểm cao nhất, chiếm toàn bộ website.

Đã có bản váCập nhật Advanced Custom Fields: Extended lên bản 0.9.2.8 trở lên.
Nguồn: Advanced Custom Fields: Extended <= 0.9.2.7 - Unauthenticated Remote Code Execution · CVE-2026-94267 Website của bạn có dùng Advanced Custom Fields: Extended? Kiểm tra ngay →
Depicter Cao · 7.2 Tải file tuỳ ý · phiên bản từ 4.0.5 đến 4.8.1 · 70.000+ lượt cài · 23/10/2026 Xem chi tiếtThu gọn

Tải được file lên máy chủ, kể cả file mã độc: thường dẫn tới chiếm toàn bộ website.

Đã có bản váCập nhật Depicter — Popup & Slider Builder lên bản 4.8.2 trở lên.
Nguồn: Depicter — Popup & Slider Builder 4.0.5 - 4.8.1 - Authenticated (Editor+) Arbitrary File Upload · CVE-2026-113472 Website của bạn có dùng Depicter? Kiểm tra ngay →
Duplicator Cao · 7.2 Thực thi mã từ xa · phiên bản đến 1.5.17 · 1+ triệu lượt cài · 23/10/2026 Xem chi tiếtThu gọn

Chạy được lệnh tuỳ ý trên máy chủ: mức nguy hiểm cao nhất, chiếm toàn bộ website.

Đã có bản váCập nhật Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More lên bản 5.0.0 trở lên.
Nguồn: Duplicator <= 1.5.17 - Authenticated (Multisite Subsite Admin+) Arbitrary Code Execution · CVE-2026-115251 Website của bạn có dùng Duplicator? Kiểm tra ngay →
LiteSpeed Cache Cao · 7.2 XSS (chèn mã script) · phiên bản trước 7.9.2 · 7+ triệu lượt cài · 23/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật LiteSpeed Cache lên bản 7.9.2 trở lên.
Nguồn: LiteSpeed Cache < 7.9.2 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-113500 Website của bạn có dùng LiteSpeed Cache? Kiểm tra ngay →
LiteSpeed Cache Cao · 7.2 XSS (chèn mã script) · phiên bản trước 7.9.2 · 7+ triệu lượt cài · 23/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật LiteSpeed Cache lên bản 7.9.2 trở lên.
Nguồn: LiteSpeed Cache < 7.9.2 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-113499 Website của bạn có dùng LiteSpeed Cache? Kiểm tra ngay →
Otter Blocks Cao · 7.2 XSS (chèn mã script) · phiên bản trước 3.2.8 · 300.000+ lượt cài · 23/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật Otter Blocks – Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE lên bản 3.2.8 trở lên.
Nguồn: Otter Blocks – Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE < 3.2.8 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-109936 Website của bạn có dùng Otter Blocks? Kiểm tra ngay →
Prime Mover Nghiêm trọng · 9.8 PHP Object Injection · phiên bản đến 2.2.1 · 10.000+ lượt cài · 23/10/2026 Xem chi tiếtThu gọn

Đưa dữ liệu độc vào chỗ giải mã đối tượng PHP: nếu có điều kiện kèm theo có thể chạy mã từ xa.

Đã có bản váCập nhật Prime Mover – Backup and Migration lên bản 2.2.2 trở lên.
Nguồn: Prime Mover <= 2.2.1 - Unauthenticated PHP Object Injection via Base64-Encoded Comment during Migration Search-and-Replace · CVE-2026-115806 Website của bạn có dùng Prime Mover? Kiểm tra ngay →
CleanTalk Anti-Spam Cao · 7.2 XSS (chèn mã script) · phiên bản đến 6.89.1 · 200.000+ lượt cài · 22/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật CleanTalk Anti-Spam – Complete Spam Protection lên bản 6.90 trở lên.
Nguồn: Anti-Spam by CleanTalk <= 6.89.1 - Unauthenticated Stored Cross-Site Scripting via 'user_email' Registration Parameter · CVE-2026-109198 Website của bạn có dùng CleanTalk Anti-Spam? Kiểm tra ngay →
VOD Infomaniak Cao · 7.2 XSS (chèn mã script) · phiên bản đến 1.5.14 · 20.000+ lượt cài · 22/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật VOD Infomaniak lên bản 1.5.15 trở lên.
Nguồn: VOD Infomaniak <= 1.5.14 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-114695 Website của bạn có dùng VOD Infomaniak? Kiểm tra ngay →
W3 Total Cache Cao · 7.2 XSS (chèn mã script) · phiên bản đến 2.10.7 · 900.000+ lượt cài · 22/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật W3 Total Cache lên bản 2.11.0 trở lên.
Nguồn: W3 Total Cache <= 2.10.7 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-114178 Website của bạn có dùng W3 Total Cache? Kiểm tra ngay →
Product Filter for WooCommerce by WBW Cao · 7.5 SQL injection · phiên bản đến 3.4.6 · 50.000+ lượt cài · 22/10/2026 Xem chi tiếtThu gọn

Kẻ xấu gửi câu lệnh đọc / sửa trực tiếp cơ sở dữ liệu: có thể lộ dữ liệu khách hàng, tài khoản.

Đã có bản váCập nhật Product Filter for WooCommerce by WBW lên bản 3.4.7 trở lên.
Nguồn: Product Filter for WooCommerce by WBW <= 3.4.6 - Unauthenticated SQL Injection · CVE-2026-112866 Website của bạn có dùng Product Filter for WooCommerce by WBW? Kiểm tra ngay →
Eventin Cao · 7.2 XSS (chèn mã script) · phiên bản đến 4.1.26 · 10.000+ lượt cài · 22/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật Eventin – Events Calendar, Tickets, Registration, Booking & WooCommerce lên bản 4.1.27 trở lên.
Nguồn: Eventin – Events Calendar, Tickets, Registration, Booking & WooCommerce <= 4.1.26 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-112844 Website của bạn có dùng Eventin? Kiểm tra ngay →
Better Messages Cao · 7.2 XSS (chèn mã script) · phiên bản đến 3.1.3 · 10.000+ lượt cài · 22/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots lên bản 3.1.4 trở lên.
Nguồn: Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots <= 3.1.3 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-114179 Website của bạn có dùng Better Messages? Kiểm tra ngay →
GeoDirectory Cao · 7.2 Thực thi mã từ xa · phiên bản đến 2.8.193 · 10.000+ lượt cài · 22/10/2026 Xem chi tiếtThu gọn

Chạy được lệnh tuỳ ý trên máy chủ: mức nguy hiểm cao nhất, chiếm toàn bộ website.

Đã có bản váCập nhật GeoDirectory – WP Business Directory Plugin and Classified Listings Directory lên bản 2.8.194 trở lên.
Nguồn: GeoDirectory <= 2.8.193 - Authenticated (Administrator+) Remote Code Execution · CVE-2026-113673 Website của bạn có dùng GeoDirectory? Kiểm tra ngay →
Formidable Forms Cao · 7.5 Lỗ hổng bảo mật · phiên bản trước 7.0 · 300.000+ lượt cài · 21/10/2026 Xem chi tiếtThu gọn

Lỗi bảo mật có thể bị khai thác; xem chi tiết ở link nguồn.

Đã có bản váCập nhật Formidable Forms – Contact Form, Survey, Quiz, Payment, Calculator Form & Custom Form Builder lên bản 7.0 trở lên.
Nguồn: Formidable Forms – Contact Form, Survey, Quiz, Payment, Calculator Form & Custom Form Builder < 7.0 - Unauthenticated Denial of Service · CVE-2026-85642 Website của bạn có dùng Formidable Forms? Kiểm tra ngay →
User Profile Builder Cao · 7.1 Leo thang quyền · phiên bản đến 4.0.3 · 40.000+ lượt cài · 20/10/2026 Xem chi tiếtThu gọn

Tài khoản quyền thấp (VD thành viên, khách hàng) tự nâng lên quản trị.

Đã có bản váCập nhật User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor lên bản 4.0.4 trở lên.
Nguồn: User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor <= 4.0.3 - Authenticated (Author+) Limited Privilege Escalation via Gutenberg Block 'Assigned Role' Attribute · CVE-2026-115807 Website của bạn có dùng User Profile Builder? Kiểm tra ngay →
Duplicator Cao · 8.8 PHP Object Injection · phiên bản đến 1.5.17 · 1+ triệu lượt cài · 20/10/2026 Xem chi tiếtThu gọn

Đưa dữ liệu độc vào chỗ giải mã đối tượng PHP: nếu có điều kiện kèm theo có thể chạy mã từ xa.

Đã có bản váCập nhật Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More lên bản 5.0.0 trở lên.
Nguồn: Duplicator <= 1.5.17 and Duplicator Pro <= 4.6.10 - Unauthenticated PHP Object Injection · CVE-2026-82814 Website của bạn có dùng Duplicator? Kiểm tra ngay →
Advanced Custom Fields: Extended Cao · 7.2 XSS (chèn mã script) · phiên bản đến 0.9.2.7 · 100.000+ lượt cài · 20/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật Advanced Custom Fields: Extended lên bản 0.9.2.8 trở lên.
Nguồn: Advanced Custom Fields: Extended <= 0.9.2.7 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-112313 Website của bạn có dùng Advanced Custom Fields: Extended? Kiểm tra ngay →
Royal Addons for Elementor Cao · 8.8 Thực thi mã từ xa · phiên bản đến 1.7.1068 · 600.000+ lượt cài · 20/10/2026 Xem chi tiếtThu gọn

Chạy được lệnh tuỳ ý trên máy chủ: mức nguy hiểm cao nhất, chiếm toàn bộ website.

Đã có bản váCập nhật Royal Addons for Elementor – Addons and Templates Kit for Elementor lên bản 1.7.1069 trở lên.
Nguồn: Royal Addons for Elementor – Addons and Templates Kit for Elementor <= 1.7.1068 - Authenticated (Contributor+) Remote Code Execution · CVE-2026-111851 Website của bạn có dùng Royal Addons for Elementor? Kiểm tra ngay →
Booking for Appointments and Events Calendar Cao · 7.5 SQL injection · phiên bản đến 2.4.11 · 90.000+ lượt cài · 20/10/2026 Xem chi tiếtThu gọn

Kẻ xấu gửi câu lệnh đọc / sửa trực tiếp cơ sở dữ liệu: có thể lộ dữ liệu khách hàng, tài khoản.

Đã có bản váCập nhật Booking for Appointments and Events Calendar – Amelia lên bản 2.4.12 trở lên.
Nguồn: Booking for Appointments and Events Calendar – Amelia <= 2.4.11 - Unauthenticated SQL Injection · CVE-2026-112327 Website của bạn có dùng Booking for Appointments and Events Calendar? Kiểm tra ngay →
Advanced Custom Fields: Extended Nghiêm trọng · 9.1 Đọc / gồm file trái phép · phiên bản đến 0.9.2.7 · 100.000+ lượt cài · 20/10/2026 Xem chi tiếtThu gọn

Đọc được file nhạy cảm trên máy chủ (cấu hình, mật khẩu cơ sở dữ liệu) hoặc chạy file có sẵn.

Đã có bản váCập nhật Advanced Custom Fields: Extended lên bản 0.9.2.8 trở lên.
Nguồn: Advanced Custom Fields: Extended <= 0.9.2.7 - Unauthenticated Arbitrary File Deletion · CVE-2026-112311 Website của bạn có dùng Advanced Custom Fields: Extended? Kiểm tra ngay →
PixelYourSite Cao · 7.2 XSS (chèn mã script) · phiên bản trước 11.4.3 · 400.000+ lượt cài · 20/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật PixelYourSite – Your smart PIXEL (TAG) & API Manager lên bản 11.4.3 trở lên.
Nguồn: PixelYourSite (Pro + Free) – Your smart PIXEL (TAG) Manager (plugin) < 11.4.3 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-109987 Website của bạn có dùng PixelYourSite? Kiểm tra ngay →
Royal MCP Cao · 7.5 Lỗ hổng bảo mật · phiên bản trước 1.5.7 · 10.000+ lượt cài · 20/10/2026 Xem chi tiếtThu gọn

Lỗi bảo mật có thể bị khai thác; xem chi tiết ở link nguồn.

Đã có bản váCập nhật Royal MCP – Secure AI Connector for Claude, ChatGPT & any LLM via MCP lên bản 1.5.7 trở lên.
Nguồn: Royal MCP – Secure AI Connector for Claude, ChatGPT & any LLM via MCP < 1.5.7 - Authentication Bypass · CVE-2026-111958 Website của bạn có dùng Royal MCP? Kiểm tra ngay →
WebP Express Cao · 7.2 XSS (chèn mã script) · phiên bản đến 0.25.15 · 300.000+ lượt cài · 20/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật WebP Express lên bản 0.25.16 trở lên.
Nguồn: WebP Express <= 0.25.15 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-97328 Website của bạn có dùng WebP Express? Kiểm tra ngay →
SureCart Cao · 7.2 XSS (chèn mã script) · phiên bản đến 4.9.5 · 80.000+ lượt cài · 19/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Donations, & Payments lên bản 4.9.6 trở lên.
Nguồn: SureCart – Ecommerce Made Easy For Selling Physical Products, Digital Downloads, Subscriptions, Donations, & Payments <= 4.9.5 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-112221 Website của bạn có dùng SureCart? Kiểm tra ngay →
Ajax Search Lite Cao · 7.5 SQL injection · phiên bản đến 4.14.6 · 70.000+ lượt cài · 19/10/2026 Xem chi tiếtThu gọn

Kẻ xấu gửi câu lệnh đọc / sửa trực tiếp cơ sở dữ liệu: có thể lộ dữ liệu khách hàng, tài khoản.

Đã có bản váCập nhật Ajax Search Lite – Live Search & Filter lên bản 4.14.7 trở lên.
Nguồn: Ajax Search Lite – Live Search & Filter <= 4.14.6 - Unauthenticated SQL Injection · CVE-2026-111852 Website của bạn có dùng Ajax Search Lite? Kiểm tra ngay →
Ninja Forms Cao · 7.2 XSS (chèn mã script) · phiên bản đến 3.15.5 · 500.000+ lượt cài · 19/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder lên bản 3.15.6 trở lên.
Nguồn: Ninja Forms – Contact Form Builder with Calculators, Quizzes, Signatures & AI Form Builder <= 3.15.5 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-110899 Website của bạn có dùng Ninja Forms? Kiểm tra ngay →
Strong Testimonials Cao · 7.2 XSS (chèn mã script) · phiên bản đến 3.3.12 · 80.000+ lượt cài · 19/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật Strong Testimonials lên bản 3.3.13 trở lên.
Nguồn: Strong Testimonials <= 3.3.12 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-107435 Website của bạn có dùng Strong Testimonials? Kiểm tra ngay →
Uncanny Toolkit for LearnDash Cao · 8.8 CSRF (giả mạo thao tác) · phiên bản trước 3.8.2 · 20.000+ lượt cài · 19/10/2026 Xem chi tiếtThu gọn

Lừa quản trị viên đang đăng nhập bấm vào một link để thực hiện thao tác thay đổi cài đặt mà họ không biết.

Đã có bản váCập nhật Uncanny Toolkit for LearnDash lên bản 3.8.2 trở lên.
Nguồn: Uncanny Toolkit for LearnDash < 3.8.2 - Cross-Site Request Forgery · CVE-2026-107127 Website của bạn có dùng Uncanny Toolkit for LearnDash? Kiểm tra ngay →
weForms Nghiêm trọng · 9.1 Đọc / gồm file trái phép · phiên bản đến 1.6.28 · 10.000+ lượt cài · 19/10/2026 Xem chi tiếtThu gọn

Đọc được file nhạy cảm trên máy chủ (cấu hình, mật khẩu cơ sở dữ liệu) hoặc chạy file có sẵn.

Đã có bản váCập nhật weForms – Easy Drag & Drop Contact Form Builder For WordPress lên bản 1.6.29 trở lên.
Nguồn: weForms – Easy Drag & Drop Contact Form Builder For WordPress <= 1.6.28 - Unauthenticated Arbitrary File Deletion · CVE-2026-111833 Website của bạn có dùng weForms? Kiểm tra ngay →
Translate WordPress with Weglot 2.0 Cao · 7.2 XSS (chèn mã script) · phiên bản đến 6.4.2 · 50.000+ lượt cài · 19/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật Translate WordPress with Weglot 2.0 – Multilingual AI Translation lên bản 6.4.3 trở lên.
Nguồn: Weglot <= 6.4.2 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-88784 Website của bạn có dùng Translate WordPress with Weglot 2.0? Kiểm tra ngay →
WP User Manager Cao · 7.3 Leo thang quyền · phiên bản từ 2.9.21 đến 2.9.25 · 10.000+ lượt cài · 19/10/2026 Xem chi tiếtThu gọn

Tài khoản quyền thấp (VD thành viên, khách hàng) tự nâng lên quản trị.

Đã có bản váCập nhật WP User Manager – Registration Form, Login Form, User Profile Builder & Member Directory lên bản 2.9.26 trở lên.
Nguồn: User Manager 2.9.21 - 2.9.25 - Unauthenticated Privilege Escalation · CVE-2026-110523 Website của bạn có dùng WP User Manager? Kiểm tra ngay →
Redirection for Contact Form 7 Cao · 7.2 XSS (chèn mã script) · phiên bản từ 2.2.7 đến 3.2.11 · 200.000+ lượt cài · 19/10/2026 Xem chi tiếtThu gọn

Kẻ xấu chèn được đoạn mã chạy trên trình duyệt người xem: có thể chiếm phiên đăng nhập quản trị hoặc chuyển hướng khách sang trang lừa đảo.

Đã có bản váCập nhật Redirection for Contact Form 7 lên bản 3.2.12 trở lên.
Nguồn: Redirection for Contact Form 7 2.2.7 - 3.2.11 - Unauthenticated Stored Cross-Site Scripting · CVE-2026-111574 Website của bạn có dùng Redirection for Contact Form 7? Kiểm tra ngay →
HivePress Cao · 8.8 Thực thi mã từ xa · phiên bản đến 1.7.32 · 10.000+ lượt cài · 17/10/2026 Xem chi tiếtThu gọn

Chạy được lệnh tuỳ ý trên máy chủ: mức nguy hiểm cao nhất, chiếm toàn bộ website.

Đã có bản váCập nhật HivePress – Business Directory, Listings & Classified Ads Plugin lên bản 1.8.0 trở lên.
Nguồn: HivePress – Business Directory, Listings & Classified Ads Plugin <= 1.7.32 - Authenticated (Contributor+) Remote Code Execution · CVE-2026-110887 Website của bạn có dùng HivePress? Kiểm tra ngay →
Quiz and Survey Master (QSM) Cao · 7.5 PHP Object Injection · phiên bản đến 11.2.7 · 40.000+ lượt cài · 17/10/2026 Xem chi tiếtThu gọn

Đưa dữ liệu độc vào chỗ giải mã đối tượng PHP: nếu có điều kiện kèm theo có thể chạy mã từ xa.

Đã có bản váCập nhật Quiz and Survey Master (QSM) – Quiz Maker & Survey Maker lên bản 11.2.8 trở lên.
Nguồn: Quiz and Survey Master (QSM) – Quiz Maker & Survey Maker <= 11.2.7 - Authenticated (Contributor+) PHP Object Injection · CVE-2026-111408 Website của bạn có dùng Quiz and Survey Master (QSM)? Kiểm tra ngay →
User Registration & Membership Cao · 8.1 Thực thi mã từ xa · phiên bản đến 5.2.8 · 50.000+ lượt cài · 16/10/2026 Xem chi tiếtThu gọn

Chạy được lệnh tuỳ ý trên máy chủ: mức nguy hiểm cao nhất, chiếm toàn bộ website.

Đã có bản váCập nhật User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder lên bản 5.3.0 trở lên.
Nguồn: User Registration & Membership <= 5.2.8 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via Referer Header via 'referrer_url' Smart Tag · CVE-2026-92798 Website của bạn có dùng User Registration & Membership? Kiểm tra ngay →
Nhận cảnh báo khi plugin trên website của bạn dính lỗ hổng Site Care đối chiếu plugin đang dùng trên website của bạn với dữ liệu lỗ hổng mỗi ngày, có lỗ hổng mức Cao là báo qua email kèm cách xử lý. Miễn phí, không cần thẻ thanh toán.
Đăng ký miễn phí Kiểm tra website trong 1 phút →

Bản tin chỉ tóm tắt thông báo đã công bố công khai, không nêu cách khai thác. Thông tin mang tính tham khảo: luôn sao lưu trước khi cập nhật plugin.

Dữ liệu lỗ hổng: Wordfence Intelligence. Lượt cài: WordPress.org.
Copyright 2012-2026 Defiant Inc. Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you, include a hyperlink to this vulnerability record, and reproduce Defiant's copyright designation and this license in any such copy.
Copyright 1999-2026 The MITRE Corporation CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.