Segurança & Infra WordPress

Semana mais curta no volume, mas com um alerta de peso: o plugin WPCOM Member tem um bypass de autenticação crítico que permite entrar como administrador sem senha, e a correção já está disponível. Outros três plugins muito usados (Avada/Fusion Builder, SiteOrigin Widgets Bundle e WPCode) receberam correções para falhas de controle de acesso e execução de código, e um vazamento de dados de comentaristas no SpeedyCache chama atenção para a LGPD. Não houve notícia de infraestrutura relevante nos registros da curadoria desta semana. Selecionamos as 5 notícias disponíveis. Bora ao que interessa 👇

Falha crítica no WPCOM Member permite login sem senha em qualquer conta via callback de login social (CVE-2026-104803)

O plugin WPCOM Member, usado para cadastro, login social e áreas de membros, tem um bypass de autenticação em todas as versões até a 1.7.27 (CVSS 9,8). Os parâmetros “uuid” e “code” do callback de login social, registrado no hook init, permitem que um visitante sem login se autentique como outro usuário, inclusive administrador. A Patchstack classifica o risco como alto e com tendência a campanhas de exploração em massa. A correção saiu na versão 1.8.0: atualize já ou desative o plugin (ao menos o login social). Depois, revise os administradores em Usuários, confira logins recentes e procure requisições com “uuid” e “code” nos logs.

Leia mais →  · Fonte: patchstack.com

Falha no Fusion Builder do Avada permite que visitantes sem conta acionem ações internas e apaguem conteúdo da lixeira (CVE-2026-97670)

A Wordfence divulgou a CVE-2026-97670 no plugin Fusion Builder (Avada), até a versão 3.16.1: um visitante sem login pode inserir o nome de um action hook num campo de formulário público, e o processamento de notificações executa a ação sem checar permissão. No teste, isso apagou de forma permanente posts, páginas e comentários que estavam na lixeira. Ficam expostos os sites com formulários Avada públicos enviados por AJAX cujo template de notificação inclui os campos enviados, como [all_fields]. Não há confirmação de exploração ativa. Atualize o plugin para a 3.16.2 ou superior; atualizar só o tema não basta.

Leia mais →  · Fonte: linuxsecurity.com

Falha de inclusão de arquivos no SiteOrigin Widgets Bundle permite executar PHP a partir de conta de colaborador (CVE-2026-92174)

O SiteOrigin Widgets Bundle, até a versão 1.73.2, tem uma falha de Local File Inclusion (CVSS 7,5) no endpoint REST /wp-json/sowb/v1/widgets/previews. Pelo parâmetro “theme”, um usuário com nível de colaborador ou superior pode incluir e executar arquivos .php que já existem no servidor, o que permite ler dados sensíveis ou executar código se for possível enviar arquivos PHP. Não há PoC público nem registro de exploração, mas o plugin é muito usado com o Page Builder da SiteOrigin. Atualize para uma versão acima da 1.73.2 e revise contas de colaborador ou superior que você não reconheça.

Leia mais →  · Fonte: thehackerwire.com

Falha no WPCode permite que visitantes sem login desativem os snippets inseridos automaticamente no site (CVE-2026-101301)

O WPCode (Insert Headers and Footers + Custom Code Snippets), das versões 2.0.0 até antes da 2.4.0, não confere direito se a requisição é mesmo para a tela de login antes de entrar no “modo de segurança” de snippets. Com isso, um visitante sem autenticação consegue desligar, nas próprias requisições, todos os snippets inseridos automaticamente. A nota CVSS é 5,3 (média), mas importa porque muita gente usa o WPCode para colocar código de segurança, cabeçalhos ou bloqueios no site. Atualize para a 2.4.0 ou superior e mova controles de proteção para um lugar mais confiável, como mu-plugin, functions.php de tema filho ou regras do servidor/WAF.

Leia mais →  · Fonte: strix.ai

Falha no SpeedyCache expõe nome e e-mail de comentaristas por envenenamento de cache (CVE-2026-104006)

O plugin de cache SpeedyCache, da Softaculous, até a versão 1.4.2, grava em cache páginas que trazem preenchidos o nome e o e-mail de comentaristas que já voltaram ao site (via cookies comment_author_*). Qualquer visitante sem login que acessar a mesma URL recebe essa página e vê esses dados, porque a verificação existe na leitura do cache, mas falta na gravação. O CVSS é baixo (3,7), mas é um vazamento de dados pessoais com possíveis implicações para a LGPD em sites com comentários abertos. Atualize assim que houver versão posterior à 1.4.2; até lá, exclua do cache as páginas com formulário de comentários e limpe o cache.

Leia mais →  · Fonte: vuldb.com

Semana com menos notícias, mas com um recado claro: confira os plugins de login e de construção de páginas e revise quem tem acesso de administrador. Bom fim de semana e até a próxima edição.

Gostou desta edição? Encaminhe para alguém que cuida de sites WordPress 💚