CTX Feed · plugin de feeds de produtos
Quem tem o papel de Gerente de loja no WooCommerce pode usar os modelos de feed do plugin para executar código no servidor e tomar o site. Só preocupa lojas que dão esse papel a pessoas que não são de total confiança.
Você mesmo
- Atualizar o CTX Feed para a versão 8.0.42 ou mais recente.
- Conferir em Usuários quem tem o papel de Gerente de loja e manter só pessoas de confiança.
- Revisar os feeds com modelo Custom Template 2 que o plugin listar para revisão depois da atualização.
Seu dev ou hospedagem
- Revisar feeds existentes em busca de código PHP inesperado no campo feedConfigCustom2.
- Desativar a opção ctxfeed_custom2_eval_enabled se o recurso não for usado.
- Conferir logs de alteração de feeds por contas de Shop Manager.
Detalhes técnicos: O Product Feed Manager for WooCommerce (CTX Feed) tem uma falha de injeção de código PHP (CWE-94): o parâmetro feedConfigCustom2 dos modelos “Custom Template 2” é repassado sem sanitização à função eval() durante a geração do feed. Um usuário autenticado com papel de Gerente de loja (Shop Manager) ou superior pode executar código PHP arbitrário no servidor; a opção ctxfeed_custom2_eval_enabled vem ativada por padrão. O registro da Wordfence (CVSS 7.2) lista como afetadas as versões até a 8.0.26; o changelog da 8.0.42 cita o CVE e passa a permitir blocos de código só para administradores. Não há relato de exploração ativa.
Dados técnicos
CVE-2026-87964 · CVSS 7,2 · Fonte: Wordfence (via OffSeq Threat Radar)