11,800 CVE WordPress, 7 dans CISA KEV : les extensions réellement utilisées par les attaquants
Chaque avis concernant le cœur, les extensions et les thèmes WordPress de notre flux, classé selon l'exploitation réelle (CISA KEV + EPSS). Les extensions qui comptent le plus d'avis ne sont pas celles qui sont attaquées ; celles qui le sont sont des extensions de sauvegarde, de gestion de fichiers et de formulaires présentant des failles d'envoi de fichiers ou de RCE non authentifiées.
Ce que couvre le flux
12,328 avis concernant 11,795 CVE distinctes : le cœur WordPress, 11,818 avis d'extensions et 165 avis de thèmes, à partir des données NVD et Wordfence.
Les extensions qui comptent le plus d'avis ne sont pas celles qui sont attaquées
Si vous triiez par nombre d'avis, vous vous inquiéteriez de ces dix-là. La deuxième colonne indique l'EPSS le plus élevé qu'atteigne l'une de leurs CVE.
royal-elementor-addons culmine à 86%; ninja-forms culmine à 62%; easy-digital-downloads culmine à 11%; download-manager culmine à 11%; ultimate-member culmine à 89%; photo-gallery culmine à 75%. Le volume d'avis mesure à quel point une extension est auditée, pas à quel point elle est exploitée.
Les 7 CVE WordPress dans CISA KEV
Exploitation confirmée dans la nature. 6 extensions, 2 cœur. Schéma : envoi de fichiers ou RCE non authentifié dans des extensions de sauvegarde, de gestion de fichiers et de formulaires — le genre de faille qu'un scanner peut exploiter sans compte.
| Composant | CVE | Nature | Gravité | EPSS | Corrigé dans |
|---|---|---|---|---|---|
| duplicator (WordPress plugin) | CVE-2020-11738 KEV | The Snap Creek Duplicator plugin before 1.3.28 for WordPress (and Duplicator Pro before 3.8.7.1) all | high 7.5 | 98% | 3.8.7.1 |
| wp-file-manager (WordPress plugin) | CVE-2020-25213 KEV | Unauthenticated arbitrary file upload to RCE via the elFinder connector | critical 10.0 | 97% | 6.9 |
| contact-form-7 (WordPress plugin) | CVE-2020-35489 KEV | Unrestricted file upload via unsanitised filenames (double extension) | critical 10.0 | 89% | 5.3.2 |
| social-warfare (WordPress plugin) | CVE-2019-9978 KEV | The social-warfare plugin before 3.5.3 for WordPress has stored XSS via the wp-admin/admin-post.php? | medium 6.1 | 73% | 3.5.3 |
| social-warfare-pro (WordPress plugin) | CVE-2019-9978 KEV | The social-warfare plugin before 3.5.3 for WordPress has stored XSS via the wp-admin/admin-post.php? | medium 6.1 | 73% | 3.5.3 |
| litespeed-cache (WordPress plugin) | CVE-2024-28000 KEV | Unauthenticated privilege escalation to administrator via weak hash in the crawler | critical 9.8 | 68% | 6.4 |
| WordPress core | CVE-2026-63030 KEV | WordPress 6.9.x before 6.9.5 and 7.0.x before 7.0.2 is affected by a REST API batch endpoint route c | critical 9.8 | 11% | 6.9.5, 7.0.2 |
| WordPress core | CVE-2026-60137 KEV | WordPress 6.8.x before 6.8.6, 6.9.x before 6.9.5, and 7.0.x before 7.0.2 does not properly sanitise | medium 5.9 | 5% | 6.8.6, 6.9.5, 7.0.2 |
Exploitées mais absentes de KEV : EPSS ≥ 50 %
151 CVE WordPress ont au moins 50 % de probabilité d'exploitation dans les 30 prochains jours ; 551 dépassent 10 %. KEV en recense 7. Si votre outillage ne connaît que KEV, il est aveugle à la majeure partie de la surface d'attaque active sur WordPress. Les 15 premières qui ne figurent pas dans KEV :
| Composant | CVE | Nature | Gravité | EPSS | Corrigé dans |
|---|---|---|---|---|---|
| backup-backup (WordPress plugin) | CVE-2023-6553 | The Backup Migration plugin for WordPress is vulnerable to Remote Code Execution in all versions up | critical 9.8 | 98% | — |
| WordPress core | CVE-2022-21661 | WordPress is a free and open-source content management system written in PHP and paired with a Maria | high 8.0 | 98% | 3.7.37, 3.8.37, 3.9.35 |
| chop-slider (WordPress plugin) | CVE-2020-11530 | A blind SQL injection vulnerability is present in Chop Slider 3, a WordPress plugin. The vulnerabili | critical 9.8 | 95% | — |
| wpdiscuz (WordPress plugin) | CVE-2020-24186 | A Remote Code Execution vulnerability exists in the gVectors wpDiscuz plugin 7.0 through 7.0.4 for W | critical 10.0 | 95% | — |
| payment-form-for-paypal-pro (WordPress plugin) | CVE-2020-14092 | The CodePeople Payment Form for PayPal Pro plugin before 1.1.65 for WordPress allows SQL Injection. | critical 9.8 | 95% | 1.1.65 |
| wp-time-capsule (WordPress plugin) | CVE-2024-8856 | The Backup and Staging by WP Time Capsule plugin for WordPress is vulnerable to arbitrary file uploa | critical 9.8 | 94% | 1.22.22 |
| wp-file-upload (WordPress plugin) | CVE-2024-9047 | The WordPress File Upload plugin for WordPress is vulnerable to Path Traversal in all versions up to | critical 9.8 | 93% | 4.24.12 |
| wp-simple-firewall (WordPress plugin) | CVE-2023-0992 | The Shield Security plugin for WordPress is vulnerable to stored Cross-Site Scripting in versions up | high 7.2 | 93% | — |
| elementor (WordPress plugin) | CVE-2022-1329 | The Elementor Website Builder plugin for WordPress is vulnerable to unauthorized execution of severa | high 8.8 | 93% | — |
| paid-memberships-pro (WordPress plugin) | CVE-2023-23488 | The Paid Memberships Pro WordPress Plugin, version < 2.9.8, is affected by an unauthenticated SQL in | critical 9.8 | 92% | 2.9.8 |
| WordPress core | CVE-2019-8943 | WordPress through 5.0.3 allows Path Traversal in wp_crop_image(). An attacker (who has privileges to | medium 6.5 | 92% | — |
| sexy-contact-form (WordPress plugin) | CVE-2014-8739 | Unrestricted file upload vulnerability in server/php/UploadHandler.php in the jQuery File Upload Plu | critical 9.8 | 92% | 1.0.0 |
| smart-google-code-inserter (WordPress plugin) | CVE-2018-3810 | Authentication Bypass vulnerability in the Oturia Smart Google Code Inserter plugin before 3.5 for W | critical 9.8 | 91% | 3.5 |
| post-smtp (WordPress plugin) | CVE-2023-6875 | The POST SMTP Mailer – Email log, Delivery Failure Notifications and Best Mail SMTP for WordPress pl | critical 9.8 | 90% | — |
| ultimate-member (WordPress plugin) | CVE-2024-1071 | The Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Mem | critical 9.8 | 89% | 2.8.3 |
Quoi faire
- Priorisez par EPSS, pas par la fréquence à laquelle une extension apparaît dans les avis. Les extensions de sauvegarde et de gestion de fichiers avec des failles d'envoi passent en premier.
- Supprimez, ne vous contentez pas de désactiver. Les fichiers PHP d'une extension désactivée restent accessibles sur la plupart des installations.
- Scannez l'installation, pas la liste d'extensions.
phpwarden wordpress /var/www/htmllit les versions du cœur, des extensions et des thèmes sur le disque et les classe ainsi.
Vérifiez votre propre projet en une commande
Zéro dépendance, hors ligne, Apache-2.0. Classe par KEV → EPSS → CVSS.
composer require --dev phpwarden/phpwarden # PHP projects → vendor/bin/phpwarden
vendor/bin/phpwarden deps composer.lock # Composer
vendor/bin/phpwarden scan # PHP engine on this host
vendor/bin/phpwarden wordpress /var/www/html # WordPress core, plugins, themesEn CI : uses: oroma-alfred/phpwarden-action@v1
avec fail-on: exploited. Ou composer require --dev phpwarden/phpwarden.