vi
Themeum là một nhà phát triển công cụ WordPress (công ty con của Ollyo) tập trung xây dựng các plugin và tiện ích mở rộng để tăng cường chức năng cho trang web. Các sản phẩm gồm quản lý học tập, trình soạn thảo trang, huy động vốn và tuỳ biến giao diện, phục vụ đối tượng người dùng và nhà phát triển WordPress toàn cầu để triển khai các trang web giàu tính năng.
Tính đến 08/11/2026, themeum ghi nhận 35 lỗ hổng bảo mật trong 90 ngày gần nhất, trải trên 6 sản phẩm, trong đó 13 lỗ hổng ở mức Cao trở lên và 0 lỗ hổng đang bị khai thác tích cực (KEV), cần ưu tiên vá ngay.
Trong 90 ngày gần nhất, Kirki – Freeform Page Builder, Website Builder & Customizer là sản phẩm có nhiều lỗ hổng bảo mật nhất trong hệ sinh thái themeum, với 11 lỗ hổng, chiếm khoảng 31,43% tổng số lỗ hổng toàn hãng trong giai đoạn này.
Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
CVE-2026-93779Tutor LMS <= 4.1.2 - Insecure Direct Object Reference to Authenticated (Subscriber+) Sensitive Information Exposure via REST API EndpointsCVE-2026-112348Kirki WordPress Plugin < 6.2.5 reCAPTCHA Bypass via Missing TokenCVE-2026-112347Kirki WordPress Plugin < 6.4.1 Broken Object-Level Access Control via Page APICVE-2026-42694WordPress Kirki plugin <= 6.4.0 - Content Injection vulnerabilityCVE-2026-42692WordPress WP Crowdfunding plugin <= 2.2.2 - Cross Site Scripting (XSS) vulnerability| Lỗ hổng | Tình trạng khai thác | Bản vá | Sản phẩm bị ảnh hưởng | Ngày phát hành | Mức độ nghiêm trọng |
|---|---|---|---|---|---|
CVE-2026-93779Tutor LMS <= 4.1.2 - Insecure Direct Object Reference to Authenticated (Subscriber+) Sensitive Information Exposure via REST API Endpoints | Tình trạng khai thácChưa xác nhận | Bản váCó |
| Sản phẩm bị ảnh hưởngTutor LMS – eLearning and online course solution |
| Ngày phát hành07/11/2026 |
| Mức độ nghiêm trọngTrung bình |
CVE-2026-112348Kirki WordPress Plugin < 6.2.5 reCAPTCHA Bypass via Missing Token | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki | Ngày phát hành30/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-112347Kirki WordPress Plugin < 6.4.1 Broken Object-Level Access Control via Page API | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki | Ngày phát hành30/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-42694WordPress Kirki plugin <= 6.4.0 - Content Injection vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki | Ngày phát hành29/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-42692WordPress WP Crowdfunding plugin <= 2.2.2 - Cross Site Scripting (XSS) vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngWP Crowdfunding | Ngày phát hành29/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-118083WordPress WP Crowdfunding plugin <= 2.2.2 - Sensitive Data Exposure vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngWP Crowdfunding | Ngày phát hành29/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-75891Kirki <= 6.2.5 - Authenticated (Subscriber+) PHP Object Injection to Administrator Account Takeover via 'get-single-symbol' AJAX Endpoint | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki – Freeform Page Builder, Website Builder & Customizer | Ngày phát hành27/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-111407WordPress Tutor LMS plugin <= 4.1.2 - Cross Site Scripting (XSS) vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS | Ngày phát hành19/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-92715Tutor LMS <= 4.1.0 - Insecure Direct Object Reference to Authenticated (Author+) Arbitrary Course Modification and Ownership Takeover via 'ID' Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS – eLearning and online course solution | Ngày phát hành17/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-107762Kirki <= 6.3.2 - Insecure Direct Object Reference to Unauthenticated Sensitive Information Exposure via Context Smuggling via 'context' Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki – Freeform Page Builder, Website Builder & Customizer | Ngày phát hành17/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-104734Kirki <= 6.3.2 - Authenticated (Administrator+) PHP Object Injection via Deserialization of Untrusted Input via ZIP Template Import | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki – Freeform Page Builder, Website Builder & Customizer | Ngày phát hành17/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-93681Tutor LMS <= 4.1.0 - Authenticated (Subscriber+) Stored Cross-Site Scripting via display_name Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS – eLearning and online course solution | Ngày phát hành16/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-88963Tutor LMS <= 4.0.8 - Authenticated (Subscriber+) Reflected DOM-Based Cross-Site Scripting via 'redirect_url' Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS – eLearning and online course solution | Ngày phát hành16/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-14572Kirki <= 6.2.0 - Authenticated (Custom+) Stored Cross-Site Scripting via Page Builder Text Content | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki – Freeform Page Builder, Website Builder & Customizer | Ngày phát hành15/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-100193Tutor LMS <= 4.1.0 - Reflected Cross-Site Scripting via 'tab' Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS – eLearning and online course solution | Ngày phát hành14/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-42702WordPress Tutor LMS plugin <= 4.1.0 - Cross Site Scripting (XSS) vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS | Ngày phát hành10/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-102291Kirki – Freeform Page Builder, Website Builder & Customizer <= 6.3.1 - Authenticated (Subscriber+) Arbitrary Shortcode Execution via 'display_name' | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki – Freeform Page Builder, Website Builder & Customizer | Ngày phát hành10/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-42698WordPress Tutor LMS plugin <= 4.1.1 - Race Condition vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS | Ngày phát hành08/10/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-102173Kirki – Freeform Page Builder, Website Builder & Customizer <= 6.3.1 - Unauthenticated Stored Cross-Site Scripting via Registration Metadata | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki – Freeform Page Builder, Website Builder & Customizer | Ngày phát hành07/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-103065WordPress Kirki plugin <= 6.3.1 - Arbitrary Code Execution vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki | Ngày phát hành03/10/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-18335Kirki – Freeform Page Builder, Website Builder & Customizer <= 6.2.0 - Unauthenticated Blind Server-Side Request Forgery via 'kirki_data' Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki – Freeform Page Builder, Website Builder & Customizer | Ngày phát hành24/09/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-18439Tutor LMS <= 4.0.7 - Authenticated (Custom+) Insecure Direct Object Reference to Arbitrary Quiz Question/Answer Modification and Deletion via 'payload' Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS – eLearning and online course solution | Ngày phát hành22/09/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-89333Tutor LMS <= 4.0.8 - Insecure Direct Object Reference to Authenticated (Subscriber+) Sensitive Information Exposure via 'student_id' Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS – eLearning and online course solution | Ngày phát hành19/09/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-89081Tutor LMS <= 4.0.8 - Reflected Cross-Site Scripting via 'back_url' and 'search' Parameters | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS – eLearning and online course solution | Ngày phát hành19/09/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-88944Tutor LMS <= 4.0.8 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Post Deletion via 'lesson_id' Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS – eLearning and online course solution | Ngày phát hành19/09/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-92465WordPress WP Mega Menu plugin <= 1.4.2 - SQL Injection vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngWP Mega Menu | Ngày phát hành16/09/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-78175Tutor LMS <= 4.0.7 - Authenticated (Subscriber+) PHP Object Injection to Remote Code Execution | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS – eLearning and online course solution | Ngày phát hành12/09/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-17037Kirki <= 6.2.0 - Unauthenticated Stored Cross-Site Scripting via 'comment' Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki – Freeform Page Builder, Website Builder & Customizer | Ngày phát hành11/09/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-19945WP Crowdfunding <= 2.2.1 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'first_name' Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngWP Crowdfunding | Ngày phát hành09/09/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-19944WP Crowdfunding <= 2.2.1 - Authenticated (Shop Manager+) SQL Injection via 'wpneo_reward' Post Meta | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngWP Crowdfunding | Ngày phát hành09/09/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-16759Tutor LMS <= 4.0.5 - Unauthenticated Remote Code Execution via 'template' and 'data' POST Parameters | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS – eLearning and online course solution | Ngày phát hành28/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-66629WordPress Kirki plugin <= 6.2.3 - Cross Site Scripting (XSS) vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki | Ngày phát hành18/08/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-18347Kirki <= 6.1.1 - Missing Authorization to Authenticated (Subscriber+) Sensitive Information Disclosure via 'context' Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki – Freeform Page Builder, Website Builder & Customizer | Ngày phát hành16/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-17604Kirki <= 6.1.1 - Authenticated (Editor+) Path Traversal to Arbitrary File Read via 'data' Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki – Freeform Page Builder, Website Builder & Customizer | Ngày phát hành16/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-16974Kirki - Freeform Page Builder, Website Builder & Customizer <= 6.2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via post_meta Shortcode | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki – Freeform Page Builder, Website Builder & Customizer | Ngày phát hành11/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-15601Kirki <= 6.0.13 - Authenticated (Editor+) Path Traversal to Arbitrary File Write (Zip Slip) | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki – Freeform Page Builder, Website Builder & Customizer | Ngày phát hành01/08/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-15444Tutor LMS <= 4.0.1 - Authenticated (Administrator+) SQL Injection via 'coupon_code' Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS – eLearning and online course solution | Ngày phát hành28/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-65436WordPress Kirki plugin <= 6.0.13 - Arbitrary File Deletion vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki | Ngày phát hành27/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-13464Kirki <= 6.0.14 - Insecure Direct Object Reference to Unauthenticated Sensitive Information Disclosure via 'context' Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki – Freeform Page Builder, Website Builder & Customizer | Ngày phát hành24/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-65531WordPress Qubely plugin <= 1.8.14 - Broken Access Control vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngQubely | Ngày phát hành23/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-1372Tutor LMS Elementor Addons <= 4.0.0 - Missing Authorization to Authenticated (Subscriber+) Tutor LMS and Elementor Plugin Activation | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS Elementor Addons | Ngày phát hành21/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-15457Kirki <= 6.0.13 - Authenticated (Editor+) Path Traversal to Arbitrary Directory Deletion via 'family' Parameter | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki – Freeform Page Builder, Website Builder & Customizer | Ngày phát hành17/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-15022Tutor LMS <= 4.0.0 - Authenticated (Subscriber+) SQL Injection via Stored Quiz Answer Array | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS – eLearning and online course solution | Ngày phát hành16/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-57727WordPress Kirki plugin <= 6.2.0 - Broken Access Control vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki | Ngày phát hành13/07/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-57726WordPress Kirki plugin <= 6.0.12 - SQL Injection vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki | Ngày phát hành13/07/2026 | Mức độ nghiêm trọngNghiêm trọng |
|---|
CVE-2026-57725WordPress Kirki plugin <= 6.0.11 - Cross Site Scripting (XSS) vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki | Ngày phát hành13/07/2026 | Mức độ nghiêm trọngCao |
|---|
CVE-2026-57724WordPress Kirki plugin <= 6.0.12 - PHP Object Injection vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki | Ngày phát hành13/07/2026 | Mức độ nghiêm trọngNghiêm trọng |
|---|
CVE-2026-57694WordPress Tutor LMS plugin <= 3.9.13 - Insecure Direct Object References (IDOR) vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngTutor LMS | Ngày phát hành13/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-57680WordPress Kirki plugin <= 6.0.11 - Insecure Direct Object References (IDOR) vulnerability | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki | Ngày phát hành02/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
CVE-2026-12472Kirki <= 6.0.11 - Missing Authorization to Unauthenticated Arbitrary Email Content Injection (Mail Relay / Phishing) via 'emailBody' and 'emailSubject' Parameters | Tình trạng khai thácChưa bị khai thác | Bản váCó | Sản phẩm bị ảnh hưởngKirki – Freeform Page Builder, Website Builder & Customizer | Ngày phát hành02/07/2026 | Mức độ nghiêm trọngTrung bình |
|---|
146 Kết quả | Trang 1 trên 3