Mail Mint · e-mail marketing
Um invasor sem login consegue executar código no servidor pelo formulário público do plugin. A correção completa ainda não estava confirmada.
Você mesmo
- Desative o Mail Mint até confirmar uma versão totalmente corrigida (acima da 1.31.0).
Seu dev ou hospedagem
- Aplicar regra de firewall que bloqueie dados serializados nos endpoints de formulário.
- Rodar varredura para confirmar que nenhum código foi injetado.
Detalhes técnicos: A Wordfence divulgou em 5 de setembro a CVE-2026-10196 (CVSS 9.8), uma falha de deserialização insegura na função handle_form_submission do plugin Mail Mint – Email Marketing, Newsletter, Email Automation & WooCommerce Emails, presente em todas as versões até a 1.31.0. Um atacante não autenticado pode enviar um objeto PHP malicioso através de um formulário público do plugin; como existe uma cadeia POP (Property-Oriented Programming) disponível no ambiente, o objeto injetado é encadeado para executar código arbitrário no servidor, permitindo comprometimento total do site. Uma correção parcial lançada na versão 1.23.1 não eliminou a causa raiz, deixando todas as versões entre 1.23.1 e 1.31.0 (a mais recente até o momento) ainda vulneráveis. O plugin tem uma base de instalação relativamente pequena (poucos milhares de sites ativos), mas, por se tratar de RCE não autenticado sem correção completa disponível, administradores que o utilizam devem desativá-lo até que uma versão realmente corrigida seja lançada, ou aplicar regras de firewall que bloqueiem envios de dados serializados suspeitos nos endpoints de formulário.