Falha de inclusão de arquivos no WPCafe permite executar PHP a partir de conta de colaborador (CVE-2026-75028) Fique de olho
Um usuário com conta de colaborador pode executar arquivos PHP do servidor. Ainda não havia correção na publicação.
Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
Edson Vieira Demetrio
Desenvolvedor Web desde de 2006, especialista em WordPress, com foco em desenvolvimento de temas e plugins para WordPress, atuando com as seguintes tecnologias: WordPress, PHP, JavaScript, HTML,CSS, Vue JS, React, Python, Power BI, Adonis JS, AngularJS. Integrações com APIs: Fiducia, SimplesVet, Omie API, Ifood API, Bem Prático, Vertis, LeadLovers API. Graduado em Sistema para Internet pela ULBRA e atualmente cursando MBA em Business Intelligence, Modelagem de Dados/Armazenagem e Administração de Base de Dados. Trabalha como colaborador nos projetos Tainacan e Iandé e demais projetos para diversas empresas.
Falha no Simple Membership permite desviar e-mail de ativação e capturar senha de membros sem login (CVE-2026-97337) Atualize esta semana
Um visitante sem login consegue desviar para si o e-mail de ativação de membros, que traz usuário e senha.
Controle de acesso quebrado no UsersWP afeta plugin de perfis e cadastro de usuários (CVE-2026-103086) Atualize esta semana
Falha de permissão em plugin de cadastro e perfis. O impacto é médio e não há ataques conhecidos.
Falhas XSS no Ninja Forms e no WPC Product Bundles são exploradas para criar administradores ocultos em sites WordPress Atue hoje
Criminosos estão usando falhas nesses dois plugins para esconder um código em pedidos e formulários. Quando o administrador abre o conteúdo, o site ganha administradores ocultos.
WordPress 7.1.3 corrige sete falhas de segurança, incluindo XSS armazenado e SQL injection na exportação Atualize esta semanaTodos os sites
A versão 7.1.3 corrige sete falhas no próprio WordPress, entre elas uma que permite atacar pelo campo de comentários.
Falha crítica de SQL injection no Unlimited Elements For Elementor permite extrair dados do banco sem login (CVE-2026-103355) Fique de olho
Um invasor sem login consegue extrair dados do banco, como usuários e senhas criptografadas. Ainda não havia correção.
Plugin User Private Files expõe arquivos privados de usuários em redes multisite (CVE-2026-97332) Atualize esta semana
Em redes multisite, visitantes sem login conseguem baixar arquivos privados de outros usuários.
Plugin SaveTo Wishlist Lite tem falha de SQL injection explorável sem login (CVE-2026-89236) Atualize esta semana
Um visitante sem login consegue extrair dados do banco, como usuários e senhas criptografadas.
MetForm expõe dados da integração com HubSpot em arquivo de depuração acessível sem login (CVE-2026-86834) Atualize esta semana
Com a integração do HubSpot ligada, o MetForm deixa um arquivo de depuração público com dados que facilitam outros ataques.
Plugin WP Mail Catcher tem falha de XSS armazenado explorável sem login via erros de envio de e-mail (CVE-2026-93889) Atualize esta semana
Um visitante sem login consegue gravar um código no registro de e-mails que roda quando o administrador abre esse registro.
Falha no WP Ultimate Review permite que assinantes executem shortcodes arbitrários (CVE-2026-103519) Atualize esta semana
Um usuário com conta simples (assinante) consegue acionar shortcodes de outros plugins pelas avaliações.
Falha crítica no Beaver Builder permite que visitantes sem login executem shortcodes arbitrários (CVE-2026-92084) Atualize esta semana
Em páginas com widget de comentários, um visitante sem login consegue acionar shortcodes de outros plugins.