Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
A Wordfence divulgou em 5 de setembro a CVE-2026-10196 (CVSS 9.8), uma falha de deserialização insegura na função handle_form_submission do plugin Mail Mint – Email Marketing, Newsletter, Email Automation & WooCommerce Emails, presente em todas as versões até a 1.31.0.…
A Wordfence publicou em 2 de setembro a divulgação técnica completa da CVE-2026-19949 (CVSS 8.8), uma injeção de SQL de segundo grau não autenticada na função de restauração de backup do plugin All-in-One WP Migration and Backup, da ServMask, usado…
O plugin pago “Custom User Registration Fields for WooCommerce”, da Addify, até a versão 2.2.3, aceita sem validação o valor do parâmetro afreg_select_user_role enviado por um atacante não autenticado na requisição de checkout da Store API do WooCommerce (/wc/store/v1/checkout), repassando-o…
A equipe de segurança do WordPress formalizou, após discussão no WordCamp US 2026, uma iniciativa chamada “Core Security Initiative”, estruturada em três pilares apelidados de “ABC”: um processo de lançamento de atualizações de segurança mais automatizado e com testes ponta…
Há uma proposta em andamento para a introdução de uma “Secrets API” no WordPress 7.2, visando a padronização do armazenamento de credenciais, o que é um avanço significativo para a segurança de configurações em ambiente server-side. O problema A proposta…
O plugin pago “Custom User Registration Fields for WooCommerce”, da Addify, até a versão 2.2.3, aceita sem validação o valor do parâmetro afreg_select_user_role enviado por um atacante não autenticado na requisição de checkout da Store API do WooCommerce (/wc/store/v1/checkout), repassando-o…
O plugin pago “Custom User Registration Fields for WooCommerce”, da Addify, até a versão 2.2.3, aceita sem validação o valor do parâmetro afreg_select_user_role enviado por um atacante não autenticado na requisição de checkout da Store API do WooCommerce (/wc/store/v1/checkout), repassando-o…
Wordfence e Patchstack divulgaram em 29 de agosto quatro novas falhas críticas (CVSS entre 9.8 e 10.0), além de reforçar a vulnerabilidade já conhecida do tema Avada (CVE-2026-18431, coberta nesta curadoria em 28/08). No WPMU DEV Dashboard (CVE-2026-76581), um bypass…
A equipe do WP Rocket (plugin de cache muito popular) enviou um aviso a clientes informando que uma vulnerabilidade descoberta na noite de 26-27 de agosto pode ter exposto o e-mail da conta, a chave de licença do WP Rocket…
Pesquisadores da Wordfence, usando um agente de IA interno chamado Argus, encadearam seis falhas distintas de autorização, validação de entrada e manipulação de arquivos no tema Avada (até a versão 7.16) e no plugin Fusion Builder (até a versão 3.16)…
Atacantes estão explorando ativamente (varredura em massa a partir de diversos IPs) duas falhas críticas de bypass de autenticação no plugin miniOrange SAML 2.0 Single Sign On, que permitem logar como qualquer usuário do WordPress, inclusive administradores. A CVE-2026-15981 (CVSS…
O plugin Mailgun for WordPress (até a versão 2.2.0) possui uma falha de Server-Side Request Forgery via path traversal na função add_list(), que não valida corretamente os dados enviados em $_POST[‘addresses’]. Um atacante não autenticado pode usar essa falha para…