Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
Atacantes estão explorando ativamente (varredura em massa a partir de diversos IPs) duas falhas críticas de bypass de autenticação no plugin miniOrange SAML 2.0 Single Sign On, que permitem logar como qualquer usuário do WordPress, inclusive administradores. A CVE-2026-15981 (CVSS…
O plugin Mailgun for WordPress (até a versão 2.2.0) possui uma falha de Server-Side Request Forgery via path traversal na função add_list(), que não valida corretamente os dados enviados em $_POST[‘addresses’]. Um atacante não autenticado pode usar essa falha para…
O módulo de Formulários do Elementor Pro (até a versão 4.2.1) tem uma falha no campo de upload de arquivos: dois laços separados tratam a checagem de extensão e o envio do arquivo de forma inconsistente, permitindo que um atacante…
Pesquisadores da Check Point identificaram uma operação de cibercrime batizada de StopAndProtect que compromete sites WordPress desatualizados (muitos ainda rodando versões de 2021, com dezenas de vulnerabilidades conhecidas) para hospedar malware, servidores de comando e controle e armazenar dados roubados…
A operação StopAndProtect, descoberta pelo Check Point Research, comprometeu quase 2.000 sites WordPress para usá-los como infraestrutura C2 rotativa, distribuindo payloads de ransomware e realizando roubo furtivo de dados. A cadeia de infecção começa com engenharia social via ClickFix, resultando…
O WordPress 7.0.4, lançado em 12 de agosto, corrige o CVE-2026-65640 (CVSS 8.8), uma vulnerabilidade de execução remota de código que pode ser explorada por usuários com permissão de upload de mídia (nível Author ou superior) através de uploads de…
Atacantes envenenaram o feed JSON de API promocional da BdThemes, afetando 7 plugins populares para Elementor (incluindo Element Pack, Prime Slider e Pixel Gallery) e explorando XSS para criar administradores desonestos e instalar webshells PHP sem necessidade de atualizar os…
O WordPress 7.0.3 foi lançado em 6 de agosto de 2026 como atualização exclusiva de segurança, corrigindo 12 vulnerabilidades no core, incluindo XSS refletido pré-autenticado (CVE-2026-64638, CVSS 8.9) na tela de login que pode escalar para execução de código PHP…
Uma falha crítica no plugin Forminator Forms (CVE-2026-15748, CVSS 9.8) permite que atacantes não autenticados façam upload de arquivos PHP maliciosos, levando ao comprometimento total do site. Mais de 600.000 sites usam o plugin e, de acordo com dados do…
Mais de 40.000 sites WordPress ficaram expostos a uma falha de bypass de autenticação no plugin User Profile Builder (CVE-2026-15826, CVSS 9.8), que permite a atacantes não autenticados assumir contas de administrador. A vulnerabilidade afeta versões até 3.16.4. Administradores devem…