CVE-2026-109220
CVSS 9.8
ช่องโหว่ PHP Object Injection ถูกค้นพบในWordPress Plugin "PDF Invoice for WooCommerce + Drag and Drop Template Builder" โดยมี CVSS Score สูงถึง 9.8 ระดับ "วิกฤต"
ช่องโหว่นี้เกิดจากการที่ PHP ใช้ฟังก์ชัน unserialize() กับข้อมูลที่ผู้ใช้ควบคุมได้โดยไม่ผ่านการตรวจสอบ ผู้โจมตีสามารถสร้าง serialized object อันตรายและส่งผ่านพารามิเตอร์ที่เปิดช่องให้โจมตีได้ เมื่อ PHP ทำการ unserialize วัตถุนั้น จะมีการเรียก magic methods เช่น __wakeup() หรือ __destruct() ที่อาจถูก chain เพื่อรัน PHP code ใดๆ ก็ได้
ผู้โจมตีไม่จำเป็นต้องล็อกอิน สามารถส่ง payload อันตรายผ่าน parameter ที่ระบุในช่องโหว่ และอาจได้รับ Remote Code Execution (RCE) ซึ่งเป็นผลกระทบที่ร้ายแรงที่สุด
CVE-2026-116512
CVSS 9.8
ช่องโหว่ RCE มี CVSS Score สูงถึง 9.8 ระดับ "วิกฤต" ซึ่งเป็นช่องโหว่ที่อันตรายที่สุดประเภทหนึ่ง
RCE ทำให้ผู้โจมตีรันคำสั่งใดๆ บนเซิร์ฟเวอร์จากระยะไกล โดยผลลัพธ์คือการควบคุมระบบเทียบเท่า admin
ช่องโหว่ประเภทนี้มักถูกใช้ติดตั้ง ransomware cryptominer หรือ backdoor ทุกองค์กรที่ใช้ซอฟต์แวร์ที่ได้รับผลกระทบควรถือว่านี่คือ Emergency
CVE-2026-103882
CVSS 9.1
ช่องโหว่ RCE มี CVSS Score สูงถึง 9.1 ระดับ "วิกฤต" ซึ่งเป็นช่องโหว่ที่อันตรายที่สุดประเภทหนึ่ง
RCE ทำให้ผู้โจมตีรันคำสั่งใดๆ บนเซิร์ฟเวอร์จากระยะไกล โดยผลลัพธ์คือการควบคุมระบบเทียบเท่า admin
ช่องโหว่ประเภทนี้มักถูกใช้ติดตั้ง ransomware cryptominer หรือ backdoor ทุกองค์กรที่ใช้ซอฟต์แวร์ที่ได้รับผลกระทบควรถือว่านี่คือ Emergency
CVE-2026-103898
CVSS 8.1
ช่องโหว่ Authentication Bypass ใน WordPress Plugin "Wp Social Login and Register Social Counter" มี CVSS Score 8.1 ระดับ "สูง"
รายละเอียดต้นฉบับ: The Wp Social Login and Register Social Counter plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 3.2.2. This is due to the social login REST callback registered at `/wp-json/wslu-social-login/type/{provider}/` with `permission_callback => __return_true` locating an existing WordPress account solely by the email string returned from the OAuth provide
ผู้ดูแลระบบควรตรวจสอบและอัพเดตโดยเร็ว
CVE-2026-107759
CVSS 7.2
ช่องโหว่ Stored XSS (Persistent) ถูกค้นพบในWordPress Plugin "WPO365 | MICROSOFT 365 GRAPH MAILER" โดยมี CVSS Score 7.2 ระดับ "สูง"
ช่องโหว่ XSS เกิดจากการที่ระบบไม่ได้กรองข้อมูลที่ผู้ใช้ป้อนเข้ามาอย่างเหมาะสม ทำให้ผู้โจมตีสามารถฉีด JavaScript อันตรายเข้าไปในหน้าเว็บได้ เมื่อผู้ใช้รายอื่นเปิดหน้าเว็บนั้น script จะถูกรันในเบราว์เซอร์ของเหยื่อโดยอัตโนมัติ
การโจมตีนี้ไม่จำเป็นต้องล็อกอิน ผู้ดูแลระบบที่ใช้WordPress Plugin "WPO365 | MICROSOFT 365 GRAPH MAILER" และยังไม่ได้อัพเดตควรดำเนินการทันที
CVE-2026-118057
CVSS 7.2
ช่องโหว่ Stored XSS (Persistent) ถูกค้นพบในWordPress Plugin "Shield Security – Smart Bot Blocking, Brute-Force Login Protection & File Scanning" โดยมี CVSS Score 7.2 ระดับ "สูง"
ช่องโหว่ XSS เกิดจากการที่ระบบไม่ได้กรองข้อมูลที่ผู้ใช้ป้อนเข้ามาอย่างเหมาะสม ทำให้ผู้โจมตีสามารถฉีด JavaScript อันตรายเข้าไปในหน้าเว็บได้ เมื่อผู้ใช้รายอื่นเปิดหน้าเว็บนั้น script จะถูกรันในเบราว์เซอร์ของเหยื่อโดยอัตโนมัติ
การโจมตีนี้ไม่จำเป็นต้องล็อกอิน ผู้ดูแลระบบที่ใช้WordPress Plugin "Shield Security – Smart Bot Blocking, Brute-Force Login Protection & File Scanning" และยังไม่ได้อัพเดตควรดำเนินการทันที