Controle de acesso quebrado no UsersWP afeta plugin de perfis e cadastro de usuários (CVE-2026-103086) Atualize esta semana
Falha de permissão em plugin de cadastro e perfis. O impacto é médio e não há ataques conhecidos.
Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
Prioridade Atualize esta semana
A correção já existe.
WordPress 7.1.3 corrige sete falhas de segurança, incluindo XSS armazenado e SQL injection na exportação Atualize esta semanaTodos os sites
A versão 7.1.3 corrige sete falhas no próprio WordPress, entre elas uma que permite atacar pelo campo de comentários.
Plugin User Private Files expõe arquivos privados de usuários em redes multisite (CVE-2026-97332) Atualize esta semana
Em redes multisite, visitantes sem login conseguem baixar arquivos privados de outros usuários.
Plugin SaveTo Wishlist Lite tem falha de SQL injection explorável sem login (CVE-2026-89236) Atualize esta semana
Um visitante sem login consegue extrair dados do banco, como usuários e senhas criptografadas.
MetForm expõe dados da integração com HubSpot em arquivo de depuração acessível sem login (CVE-2026-86834) Atualize esta semana
Com a integração do HubSpot ligada, o MetForm deixa um arquivo de depuração público com dados que facilitam outros ataques.
Plugin WP Mail Catcher tem falha de XSS armazenado explorável sem login via erros de envio de e-mail (CVE-2026-93889) Atualize esta semana
Um visitante sem login consegue gravar um código no registro de e-mails que roda quando o administrador abre esse registro.
Falha no WP Ultimate Review permite que assinantes executem shortcodes arbitrários (CVE-2026-103519) Atualize esta semana
Um usuário com conta simples (assinante) consegue acionar shortcodes de outros plugins pelas avaliações.
Falha crítica no Beaver Builder permite que visitantes sem login executem shortcodes arbitrários (CVE-2026-92084) Atualize esta semana
Em páginas com widget de comentários, um visitante sem login consegue acionar shortcodes de outros plugins.
Plugin de agendamentos VikAppointments tem falha crítica que permite apagar arquivos do servidor sem login (CVE-2026-87115) Atualize esta semana
Em uma configuração específica, um visitante sem login consegue apagar qualquer arquivo do servidor, inclusive o que mantém o site no ar.
Falha no Mailchimp for WooCommerce permite que visitantes alterem ou apaguem carrinhos de outros clientes (CVE-2026-92437) Atualize esta semana
Um visitante sem login consegue alterar ou apagar o carrinho salvo de outro cliente. O impacto é limitado.
Imagens HEIC maliciosas podem levar à execução remota de código em servidores WordPress via libheif Atualize esta semana
Uma imagem HEIC manipulada, enviada por alguém com permissão de upload, pode executar código no servidor. Atualizar o WordPress não resolve.
Nelio Content permite que colaboradores apaguem mensagens sociais reutilizáveis de administradores (CVE-2026-94505) Atualize esta semana
Um colaborador consegue apagar mensagens sociais criadas por administradores. O impacto é restrito.