O que conferir no seu site em 17 de outubro

3 itens neste dia. Todos só importam se você usa o software citado.

Resumo em 10 segundos

Não usa WP Booking System, European VAT Compliance Assistant for WooCommerce nem EU VAT Assistant for WooCommerce? Nada desta nota se aplica ao seu site.

Como ler os selos:Atue hoje — Já há ataques acontecendo.Atualize esta semana — A correção já existe.Fique de olho — Sem correção ainda ou impacto baixo.

Só se você usa estes plugins

Não está na sua lista? Pode pular.

Atualize esta semana

WP Booking System

calendário de reservas

Vulnerável: até a 2.1.0.3Seguro: versões acima da 2.1.0.3

Qualquer usuário logado, até um simples assinante, consegue ler os e-mails de reservas com nome, e-mail e telefone dos clientes. É vazamento de dados pessoais (LGPD).

Você mesmo

  • Atualize o WP Booking System para a versão mais recente (acima da 2.1.0.3).
  • Se o site tem cadastro aberto, considere desativá-lo por enquanto.

Seu dev ou hospedagem

  • Revisar contas de Assinante recentes e suspeitas.
  • Procurar nos logs requisições repetidas ao wp-admin com booking_id ou email_log_id.
CVE-2026-108123 · CVSS 7,5 · Fonte: TheHackerWire / Wordfence IntelligenceRegistro completo →
Atualize esta semanaPouco usado no Brasil

European VAT Compliance Assistant for WooCommerce

IVA europeu no WooCommerce

Vulnerável: até a 1.36.10Seguro: versões acima da 1.36.10

Qualquer pessoa sem conta consegue plantar um código num pedido que roda quando um administrador abre esse pedido, o que pode levar ao sequestro da sessão.

Você mesmo

  • Atualize o plugin para a versão mais recente (acima da 1.36.10).

Seu dev ou hospedagem

  • Revisar pedidos de visitantes recentes com valores de país ou IP contendo HTML ou JavaScript.
  • Confirmar que o WAF está ativo.
  • Sem Cloudflare, descartar no servidor o cabeçalho CF-IPCountry vindo de clientes.
CVE-2026-100316 · CVSS 7,2 · Fonte: TheHackerWire / Wordfence IntelligenceRegistro completo →
Fique de olhoPouco usado no Brasil

EU VAT Assistant for WooCommerce

IVA europeu no WooCommerce

Vulnerável: 2.1.30.260413 e anteriores (sem correção)Ainda sem correção

Um visitante sem conta consegue gravar um código no pedido que roda quando o administrador abre esse pedido no painel, o que pode levar à tomada do site.

Você mesmo

  • Se o plugin não for essencial, desative-o até sair uma versão posterior à 2.1.30.260413.
  • Antes de abrir pedidos no painel, desconfie de números de IVA estranhos.

Seu dev ou hospedagem

  • Manter regra de WAF que filtre o campo vat_number.
  • Revisar pedidos recentes com tags ou "onerror=" no número de IVA.
  • Conferir em Usuários se apareceu algum administrador desconhecido.
CVE-2026-103899 · CVSS 7,2 · Fonte: TheHackerWire / Wordfence IntelligenceRegistro completo →