Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
A equipe do repositório oficial de plugins do WordPress.org anunciou em 9 de setembro que toda nova versão de plugin agora passa por uma revisão de segurança automatizada antes de ser distribuída pela update API — versões consideradas de alto…
O boletim semanal ShieldNOTES da Shield Security, publicado em 7 de setembro, aponta o SigmaForms Pro – AI Generated Forms (mais de 350 mil instalações) como a falha mais crítica da semana: CVE-2026-14494, nota máxima 10/10, permite que um atacante…
A Wordfence divulgou em 5 de setembro a CVE-2026-10196 (CVSS 9.8), uma falha de deserialização insegura na função handle_form_submission do plugin Mail Mint – Email Marketing, Newsletter, Email Automation & WooCommerce Emails, presente em todas as versões até a 1.31.0.…
A Wordfence publicou em 2 de setembro a divulgação técnica completa da CVE-2026-19949 (CVSS 8.8), uma injeção de SQL de segundo grau não autenticada na função de restauração de backup do plugin All-in-One WP Migration and Backup, da ServMask, usado…
O plugin pago “Custom User Registration Fields for WooCommerce”, da Addify, até a versão 2.2.3, aceita sem validação o valor do parâmetro afreg_select_user_role enviado por um atacante não autenticado na requisição de checkout da Store API do WooCommerce (/wc/store/v1/checkout), repassando-o…
A equipe de segurança do WordPress formalizou, após discussão no WordCamp US 2026, uma iniciativa chamada “Core Security Initiative”, estruturada em três pilares apelidados de “ABC”: um processo de lançamento de atualizações de segurança mais automatizado e com testes ponta…
Há uma proposta em andamento para a introdução de uma “Secrets API” no WordPress 7.2, visando a padronização do armazenamento de credenciais, o que é um avanço significativo para a segurança de configurações em ambiente server-side. O problema A proposta…
O plugin pago “Custom User Registration Fields for WooCommerce”, da Addify, até a versão 2.2.3, aceita sem validação o valor do parâmetro afreg_select_user_role enviado por um atacante não autenticado na requisição de checkout da Store API do WooCommerce (/wc/store/v1/checkout), repassando-o…
O plugin pago “Custom User Registration Fields for WooCommerce”, da Addify, até a versão 2.2.3, aceita sem validação o valor do parâmetro afreg_select_user_role enviado por um atacante não autenticado na requisição de checkout da Store API do WooCommerce (/wc/store/v1/checkout), repassando-o…
Wordfence e Patchstack divulgaram em 29 de agosto quatro novas falhas críticas (CVSS entre 9.8 e 10.0), além de reforçar a vulnerabilidade já conhecida do tema Avada (CVE-2026-18431, coberta nesta curadoria em 28/08). No WPMU DEV Dashboard (CVE-2026-76581), um bypass…
A equipe do WP Rocket (plugin de cache muito popular) enviou um aviso a clientes informando que uma vulnerabilidade descoberta na noite de 26-27 de agosto pode ter exposto o e-mail da conta, a chave de licença do WP Rocket…
Pesquisadores da Wordfence, usando um agente de IA interno chamado Argus, encadearam seis falhas distintas de autorização, validação de entrada e manipulação de arquivos no tema Avada (até a versão 7.16) e no plugin Fusion Builder (até a versão 3.16)…