Falha no Simple Membership permite desviar e-mail de ativação e capturar senha de membros sem login (CVE-2026-97337) Atualize esta semana
Um visitante sem login consegue desviar para si o e-mail de ativação de membros, que traz usuário e senha.
Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
Categoria Segurança
Controle de acesso quebrado no UsersWP afeta plugin de perfis e cadastro de usuários (CVE-2026-103086) Atualize esta semana
Falha de permissão em plugin de cadastro e perfis. O impacto é médio e não há ataques conhecidos.
Falhas XSS no Ninja Forms e no WPC Product Bundles são exploradas para criar administradores ocultos em sites WordPress Atue hoje
Criminosos estão usando falhas nesses dois plugins para esconder um código em pedidos e formulários. Quando o administrador abre o conteúdo, o site ganha administradores ocultos.
WordPress 7.1.3 corrige sete falhas de segurança, incluindo XSS armazenado e SQL injection na exportação Atualize esta semanaTodos os sites
A versão 7.1.3 corrige sete falhas no próprio WordPress, entre elas uma que permite atacar pelo campo de comentários.
Falha crítica de SQL injection no Unlimited Elements For Elementor permite extrair dados do banco sem login (CVE-2026-103355) Fique de olho
Um invasor sem login consegue extrair dados do banco, como usuários e senhas criptografadas. Ainda não havia correção.
Plugin User Private Files expõe arquivos privados de usuários em redes multisite (CVE-2026-97332) Atualize esta semana
Em redes multisite, visitantes sem login conseguem baixar arquivos privados de outros usuários.
Plugin SaveTo Wishlist Lite tem falha de SQL injection explorável sem login (CVE-2026-89236) Atualize esta semana
Um visitante sem login consegue extrair dados do banco, como usuários e senhas criptografadas.
MetForm expõe dados da integração com HubSpot em arquivo de depuração acessível sem login (CVE-2026-86834) Atualize esta semana
Com a integração do HubSpot ligada, o MetForm deixa um arquivo de depuração público com dados que facilitam outros ataques.
Plugin WP Mail Catcher tem falha de XSS armazenado explorável sem login via erros de envio de e-mail (CVE-2026-93889) Atualize esta semana
Um visitante sem login consegue gravar um código no registro de e-mails que roda quando o administrador abre esse registro.
Falha no WP Ultimate Review permite que assinantes executem shortcodes arbitrários (CVE-2026-103519) Atualize esta semana
Um usuário com conta simples (assinante) consegue acionar shortcodes de outros plugins pelas avaliações.
Falha crítica no Beaver Builder permite que visitantes sem login executem shortcodes arbitrários (CVE-2026-92084) Atualize esta semana
Em páginas com widget de comentários, um visitante sem login consegue acionar shortcodes de outros plugins.
Plugin de agendamentos VikAppointments tem falha crítica que permite apagar arquivos do servidor sem login (CVE-2026-87115) Atualize esta semana
Em uma configuração específica, um visitante sem login consegue apagar qualquer arquivo do servidor, inclusive o que mantém o site no ar.