WordPress · núcleo do WordPress
Afeta: sites com temas de bloco e alguns temas clássicos.
Um comentário anônimo pode esconder um código que, aberto por um administrador logado, instala um plugin malicioso. Corrigido no WordPress 7.1.1.
Você mesmo
- Garanta que o WordPress esteja na 7.1.1 ou superior (de preferência na mais recente).
- Se não puder atualizar agora, desative os comentários.
Seu dev ou hospedagem
- Revisar comentários recentes com HTML estranho e plugins não instalados por você (wp plugin list).
- Evitar navegar no site logado como administrador no dia a dia.
Detalhes técnicos: Detalhes técnicos publicados em 21/09 mostram como a CVE-2026-93485 (CVSS 7.1), corrigida no WordPress 7.1.1, permite que um visitante anônimo plante um script em um comentário explorando uma quebra de linha dentro de um atributo HTML permitido. Se um administrador logado abrir a página, o script usa a sessão dele para enviar um plugin com web shell, levando à execução de código no servidor. Afeta sites com temas de bloco (padrão desde o Twenty Twenty-Two) e alguns temas clássicos, como o Twenty Twenty-One; o pesquisador descreveu formas de contornar a moderação de comentários. Com o write-up público, aumenta o risco para sites ainda sem o patch.
Dados técnicos
CVE-2026-93485 · CVSS 7,1 · Fonte: The Hacker News