Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
Bypass de autenticação crítico no WPCOM Member (CVSS 9,8), falhas no Avada Fusion Builder, SiteOrigin e WPCode e vazamento de e-mails de comentaristas no SpeedyCache. WP BLOG BR Edição #09 Segurança & Infra WordPress As notícias de segurança e…
Bricksforge sob ataque ativo (CVSS 10), WordPress 7.1.3 com 7 correções de segurança, campanha que cria administradores ocultos e o Let’s Encrypt encurtando certificados para 64 dias. WP BLOG BR Edição #08 Segurança & Infra WordPress As notícias de…
Elementor com CSRF sob exploração, exploit público no Visual Composer, cookie de admin vazando no JSON API Auth e um malware que se reconstrói sozinho. WP BLOG BR Edição #07 Segurança & Infra WordPress As “melhores” ou piores notícias…
Duas atualizações de segurança no núcleo, a 7.1.2 já sob ataque ativo, falhas críticas no Gravity Forms e no The Events Calendar e um malware escondido em mu-plugins. WP BLOG BR Edição #06 Segurança & Infra WordPress As “melhores”…
A equipe do WP Rocket (plugin de cache muito popular) enviou um aviso a clientes informando que uma vulnerabilidade descoberta na noite de 26-27 de agosto pode ter exposto o e-mail da conta, a chave de licença do WP Rocket…
O plugin Mailgun for WordPress (até a versão 2.2.0) possui uma falha de Server-Side Request Forgery via path traversal na função add_list(), que não valida corretamente os dados enviados em $_POST[‘addresses’]. Um atacante não autenticado pode usar essa falha para…
O módulo de Formulários do Elementor Pro (até a versão 4.2.1) tem uma falha no campo de upload de arquivos: dois laços separados tratam a checagem de extensão e o envio do arquivo de forma inconsistente, permitindo que um atacante…
Pesquisadores da Check Point identificaram uma operação de cibercrime batizada de StopAndProtect que compromete sites WordPress desatualizados (muitos ainda rodando versões de 2021, com dezenas de vulnerabilidades conhecidas) para hospedar malware, servidores de comando e controle e armazenar dados roubados…
A operação StopAndProtect, descoberta pelo Check Point Research, comprometeu quase 2.000 sites WordPress para usá-los como infraestrutura C2 rotativa, distribuindo payloads de ransomware e realizando roubo furtivo de dados. A cadeia de infecção começa com engenharia social via ClickFix, resultando…
O WordPress 7.0.4, lançado em 12 de agosto, corrige o CVE-2026-65640 (CVSS 8.8), uma vulnerabilidade de execução remota de código que pode ser explorada por usuários com permissão de upload de mídia (nível Author ou superior) através de uploads de…
Atacantes envenenaram o feed JSON de API promocional da BdThemes, afetando 7 plugins populares para Elementor (incluindo Element Pack, Prime Slider e Pixel Gallery) e explorando XSS para criar administradores desonestos e instalar webshells PHP sem necessidade de atualizar os…
O WordPress 7.0.3 foi lançado em 6 de agosto de 2026 como atualização exclusiva de segurança, corrigindo 12 vulnerabilidades no core, incluindo XSS refletido pré-autenticado (CVE-2026-64638, CVSS 8.9) na tela de login que pode escalar para execução de código PHP…