Resumo: O plugin Testimonials Widget, até a versão 4.0.4, não verifica permissão nem propriedade ao processar o formulário público de envio de depoimentos. Com isso, qualquer visitante, sem login, pode criar posts ou sobrescrever título, conteúdo e autor de qualquer post existente (CVSS 7.5). Até a divulgação não havia versão corrigida confirmada, o que abre caminho para desfiguração, spam de SEO e injeção de conteúdo malicioso.
Fonte: WPScan/CVE
O que fazer: Verifique em Plugins > Plugins instalados se o Testimonials Widget está ativo. Enquanto não houver versão corrigida acima da 4.0.4, desative o plugin ou remova o formulário de envio de depoimentos das páginas públicas. Revise posts e páginas modificados recentemente (ordene por “Modificado” no painel) em busca de alterações de título, conteúdo ou autor que você não fez e restaure pelas revisões do WordPress, se preciso. Se usa WAF (Wordfence, Patchstack, Cloudflare), confirme que as regras estão atualizadas.