Resumo: O SiteOrigin Widgets Bundle, até a versão 1.73.2, tem uma falha de Local File Inclusion (CVSS 7,5) no endpoint REST /wp-json/sowb/v1/widgets/previews. Por meio do parâmetro “theme”, um usuário com nível de colaborador ou superior pode incluir e executar arquivos .php que já existem no servidor. Isso permite contornar controles de acesso, ler dados sensíveis ou executar código se for possível enviar arquivos PHP. Ainda não há PoC público nem registro de exploração, mas o plugin é muito usado com o Page Builder da SiteOrigin.
Fonte: TheHackerWire / Wordfence Intelligence
O que fazer: Atualize o SiteOrigin Widgets Bundle para uma versão acima da 1.73.2. Revise as contas com papel de colaborador ou superior e remova as que não reconhecer. Em sites com cadastro aberto, confirme que o papel padrão é “Assinante”. Rode uma varredura (Wordfence ou Sucuri) em busca de arquivos .php estranhos em wp-content/uploads.