Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
Resumo: O WordPress lançou a versão 7.1.3, com 7 correções de segurança e 4 de bugs. Entre as falhas estão um XSS armazenado na tela de comentários explorável por comentários pendentes, uma SQL injection de segunda ordem na exportação WXR,…
Resumo: Foi divulgada a CVE-2026-103355 (CVSS 9.3), uma injeção de SQL cega no plugin Unlimited Elements For Elementor que afeta as versões até a 2.0.20. A falha permite que atacantes sem autenticação extraiam informações sensíveis do banco de dados, como…
Resumo: O plugin User Private Files, em versões anteriores à 2.2.0, não protege corretamente os arquivos privados em instalações WordPress multisite: a regra de reescrita que deveria encaminhar os downloads pela verificação de acesso nunca é alcançada. Assim, visitantes sem…
Resumo: O plugin SaveTo Wishlist Lite, usado para criar listas de desejos em lojas WooCommerce, não sanitiza nem escapa parâmetros usados na cláusula ORDER BY de uma consulta SQL em versões anteriores à 1.1.5. Com isso, um visitante sem login…
Resumo: O MetForm, construtor de formulários para Elementor com centenas de milhares de instalações, grava um arquivo de depuração na raiz do site a cada envio de formulário quando a integração com HubSpot Forms está ativa. Em versões anteriores à…
Resumo: O plugin Mail logging – WP Mail Catcher, até a versão 2.1.12, registra a mensagem de erro do PHPMailer (hook wp_mail_failed) sem sanitizar nem escapar o conteúdo (CVSS 7.2). Quando outro plugin, como o Contact Form 7, repassa dados…
Resumo: O plugin WP Ultimate Review, até a versão 2.4.3, não valida corretamente um valor antes de passá-lo para do_shortcode (CVSS 5.4). Um usuário autenticado com nível de assinante ou superior pode usar o escape de colchetes duplos ([[tag]]), que…
Resumo: O plugin Beaver Builder Page Builder, em todas as versões até a 2.11.0.5, executa do_shortcode sobre um valor não validado, permitindo que atacantes não autenticados rodem shortcodes arbitrários (CVSS 9.1). A exploração exige uma página do Beaver Builder com…
Resumo: O plugin VikAppointments Services Booking Calendar, em todas as versões até a 1.2.21, valida mal o caminho de arquivos na função extract, permitindo que atacantes não autenticados apaguem qualquer arquivo do servidor (CVSS 9.1). Apagar o wp-config.php, por exemplo,…
Resumo: O plugin Mailchimp for WooCommerce, em versões anteriores à 6.3, não exige autenticação, nonce nem verificação de propriedade antes de agir sobre o registro de carrinho abandonado identificado por dados enviados na requisição. Com isso, um atacante sem login…
Resumo: Pesquisadores da Fortbridge demonstraram uma cadeia de ataque em que um usuário com permissão de upload (Autor ou superior) envia uma imagem HEIC manipulada à Biblioteca de Mídia; ao ser redimensionada pelo ImageMagick, ela aciona um estouro de memória…
Elementor com CSRF sob exploração, exploit público no Visual Composer, cookie de admin vazando no JSON API Auth e um malware que se reconstrói sozinho. WP BLOG BR Edição #07 Segurança & Infra WordPress As “melhores” ou piores notícias…