11 sierpnia 2026 r. Search Engine Journal opisał spór wokół WPForms Lite, po tym jak Sybre Waaijer z The SEO Framework oskarżył wtyczkę o dodanie backdoora w wersji 2.0.0. Według jego wpisu na X onboarding ma uruchamiać godzinny token administracyjny bez wyraźnej zgody użytkownika, co pozwalałoby na instalowanie i aktywowanie wtyczek oraz włączanie wysyłki danych formularzy na serwery WPForms. Waaijer wskazał też, że mechanizm działa przy świeżej instalacji, tylko dla administratorów, a token wygasa po zakończeniu konfiguracji lub po godzinie. W teście redakcji po instalacji WPForms Lite pojawił się kreator konfiguracji, a po kliknięciu „Install and Continue” zainstalowały się m.in. WP Mail SMTP, WPConsent i WPForms Lite; część opcji, jak „AI Form Generation” i „Privacy Compliance”, była zaznaczona na stałe. Autor zaznaczył, że nie zauważył momentu opuszczenia własnej witryny i dopiero później zorientował się, że działał już na innym adresie. W dyskusji pojawił się też kontrargument, że to nie backdoor w klasycznym sensie, bo kreator wymaga zalogowanego administratora i nie omija uwierzytelniania. Dla właścicieli stron i SEO/WordPress marketerów to sygnał, by dokładnie sprawdzać onboarding wtyczek, listę instalowanych dodatków i to, czy podczas konfiguracji nie dochodzi do automatycznego przekazywania uprawnień.
Źródło: Search Engine Journal — oryginalny artykuł ↗
Chcesz wiedzieć, jak ta zmiana wpłynie na Twoją stronę?
Nasz zespół analizuje każdą aktualizację Google w 48h i przekłada ją na konkretne działania dla klientów.
Bezpłatna analiza wpływu