Le plugin Aapanel WP Toolkit est vulnérable à une élévation de privilèges, permettant aux abonnés d'obtenir des privilèges d'administrateur. Les versions du plugin Attachment Manager jusqu'à 2.1.2 sont vulnérables à la suppression de fichiers arbitraires, ce qui peut entraîner l'exécution de code à distance. Le plugin Groundhogg d'Adrian Tobey, jusqu'à la version 4.2.1, permet l'upload non restreint de types de fichiers dangereux, permettant ainsi l'upload de coquilles web. Les produits Alcatel-Lucent OmniAccess Stellar ont plusieurs vulnérabilités critiques, notamment l'injection de commandes avec des privilèges root et la falsification d'identifiants de session, permettant aux attaquants de contrôler entièrement les points d'accès. Le plugin Contact Form 7 Editor Button d'Arisoft est vulnérable à une vulnérabilité XSS réfléchie, tandis que le plugin Import CDN-Remote Images d'Atakan Au est vulnérable à une vulnérabilité XSS stockée via CSRF. Le formulaire de contact multilingue responsive d'August Infotech manque d'autorisation, permettant l'accès non autorisé à des fonctionnalités. Le thème Hillter d'Awethemes a une vulnérabilité de désérialisation permettant l'injection d'objets. Les versions du plugin B1.lt jusqu'à 2.2.56 permettent l'injection SQL pour les utilisateurs authentifiés. Le thème Alone Charity Multipurpose Non-profit WordPress de Bearsthemes a des vulnérabilités pour la suppression de fichiers arbitraires et l'upload de fichiers arbitraires, ce qui peut entraîner l'exécution de code à distance. Le plugin Bears Backup jusqu'à la version 2.0.0 permet aux attaquants non authentifiés d'exécuter du code arbitraire sur le serveur. Les systèmes BossSoft CRM 6.0 et Campcodes Online Movie Theater Seat Reservation System 1.0 sont vulnérables à l'injection SQL. Le logiciel Cisco Identity Services Engine a une vulnérabilité d'API permettant l'élévation de privilèges root non authentifiée. Le plugin WP-BusinessDirectory de CMSJunkie jusqu'à la version 3.1.3 est susceptible à une injection SQL aveugle. Le plugin Pay with Contact Form 7 de cmsMinds a une vulnérabilité XSS réfléchie. De nombreux systèmes de code, notamment AVL Rooms, Church Donation System et Electricity Billing System, présentent des vulnérabilités critiques d'injection SQL. Enfin, la version 0.29.4 du plugin apko de chainguard-dev avait des problèmes critiques de permissions de fichiers qui pouvaient être exploités pour une élévation de privilèges root.