WP Post Author · caixa de autor
Afeta: sites que configuraram o reCAPTCHA no plugin
Qualquer visitante consegue ver a chave secreta do reCAPTCHA do site, o que permite usar a sua conta do reCAPTCHA de forma indevida.
Você mesmo
- Atualizar o WP Post Author para a 4.2.0 ou mais recente.
- Gerar uma nova chave secreta no painel do Google reCAPTCHA e atualizar no plugin.
- Conferir os dados do primeiro usuário (normalmente o administrador) em Usuários.
Seu dev ou hospedagem
- Rotacionar o par de chaves do reCAPTCHA.
- Verificar nos logs de acesso requisições à REST API de posts com parâmetros do WP Post Author.
Detalhes técnicos: Em versões anteriores à 4.2.0, o WP Post Author não restringe as configurações de integração devolvidas a visitantes, e qualquer pessoa sem login pode ler a chave secreta do reCAPTCHA salva no plugin (CWE-200), pela resposta da REST API de dados de posts. O changelog da 4.2.0 também cita a correção de uma brecha que deixava visitantes alterarem campos de perfil da primeira conta de usuário quando o cadastro pelo front-end falhava. Sem nota CVSS e sem relato de exploração ativa.
Dados técnicos
CVE-2026-108686 · Fonte: WPScan (via Strix CVE Database)