SureCart · plugin de loja virtual
Um invasor sem login pode tentar adivinhar o código de acesso sem senha de qualquer conta do site, inclusive a do administrador, e, se acertar, entrar como essa pessoa e tomar o site. A atualização resolve.
Você mesmo
- Atualizar o SureCart para a versão 4.9.6 ou mais recente (a atual é a 4.11.0).
- Conferir administradores em Usuários e remover contas que você não reconhece.
- Ativar a autenticação em dois fatores para as contas de administrador.
Seu dev ou hospedagem
- Procurar nos logs muitas requisições seguidas às rotas REST de código de verificação do SureCart (wp-json/surecart/...verification...) vindas de IPs variados.
- Aplicar rate limit nessas rotas no WAF ou no servidor web.
- Conferir logins recentes de administradores e encerrar sessões suspeitas (wp user session destroy --all, se o pacote estiver instalado).
- Confirmar a versão com: wp plugin get surecart --field=version.
Detalhes técnicos: A rota REST de login sem senha (código de uso único) do SureCart não tem verificação de permissão nem limite de tentativas por conta. Um visitante sem login pode pedir um código para qualquer usuário, inclusive administradores, e testar os 6 dígitos por força bruta, contornando o limite do CDN com rotação de IPs; ao acertar, recebe a sessão daquele usuário. Afeta as versões até a 4.9.5; a 4.9.6 (16/10/2026) reforçou o fluxo do código de login, segundo o changelog. CVSS 8.1 (complexidade alta); não há registro de exploração ativa.