WPCOM Member · cadastro, login social e área de membros
Um visitante sem login consegue entrar no site como qualquer usuário, inclusive administrador, sem senha.
Você mesmo
- Atualize o WPCOM Member para a 1.8.0 ou superior.
- Se não puder agora, desative o plugin ou ao menos o login social.
- Revise a lista de administradores em Usuários.
Seu dev ou hospedagem
- Conferir administradores direto no banco (wp_usermeta, chave wp_capabilities).
- Procurar nos logs requisições com os parâmetros "uuid" e "code".
- Rodar varredura completa.
Detalhes técnicos: O plugin WPCOM Member, usado para cadastro, login social e áreas de membros, tem uma falha de bypass de autenticação em todas as versões até a 1.7.27 (CVE-2026-104803, CVSS 9.8). Os parâmetros “uuid” e “code” do callback de login social, registrado no hook init, permitem que um visitante sem login se autentique como outro usuário, inclusive administrador. A Patchstack classifica a falha como de alto risco e com tendência a entrar em campanhas de exploração em massa; a correção saiu na versão 1.8.0.
Dados técnicos
CVE-2026-104803 · CVSS 9,8 · Fonte: Patchstack / Wordfence Intelligence