Relevância Alta

Resumo: A Wordfence documentou um malware instalado em `wp-content/mu-plugins` que se oculta das telas de plugins, atualizações e Saúde do Site, cria ou sequestra contas de administrador (padrões `admin_`, `adm_`, `administrator_`, `backup_` + 6 caracteres), captura senhas no login e…

Resumo: Detalhes técnicos publicados em 21/09 mostram como a CVE-2026-93485 (CVSS 7.1), corrigida no WordPress 7.1.1, permite que um visitante anônimo plante um script em um comentário explorando uma quebra de linha dentro de um atributo HTML permitido. Se um…

Resumo: O WordPress lançou em 22/09 a versão 7.1.2 (com backports até a 4.7) para corrigir a CVE-2026-87902 (CVSS 9.2), uma falha de path traversal na escolha de template de página que permite a qualquer visitante, sem login, fazer o…

Resumo: O boletim ShieldNOTES de 21/09/2026 reforça o alerta sobre o backdoor no Admin Menu Editor Pro (10/10) e lista outras falhas críticas recentes: upload arbitrário de arquivo no Gravity Forms (10/10, corrigido na v3.1.1+), controle de acesso quebrado no…

Resumo: Foi publicada em 20 de setembro de 2026 a CVE-2026-82842, afetando o plugin “SAML Single Sign On – SSO Login” (miniOrange) em versões anteriores à 6.0.0. O plugin ignora o critério de vínculo de identidade configurado pelo administrador e…

Resumo: Em 14 de setembro de 2026 a Wordfence divulgou duas cadeias de vulnerabilidades independentes (CVE-2026-78006 e CVE-2026-78159, CVSS 9,8) no plugin The Events Calendar, usado em mais de 600 mil sites WordPress. Ambas exploram o link de pré-visualização de…

Resumo: A Wordfence reportou em 16 de setembro de 2026 exploração ativa da CVE-2026-27540 (CVSS 9,8) no plugin premium WooCommerce Wholesale Lead Capture, com mais de 6 mil instalações ativas. A falha está na ação AJAX “wwlc_file_upload_handler”, que não valida…

O boletim semanal ShieldNOTES da Shield Security, publicado em 7 de setembro, aponta o SigmaForms Pro – AI Generated Forms (mais de 350 mil instalações) como a falha mais crítica da semana: CVE-2026-14494, nota máxima 10/10, permite que um atacante…

A Wordfence divulgou em 5 de setembro a CVE-2026-10196 (CVSS 9.8), uma falha de deserialização insegura na função handle_form_submission do plugin Mail Mint – Email Marketing, Newsletter, Email Automation & WooCommerce Emails, presente em todas as versões até a 1.31.0.…

A Wordfence publicou em 2 de setembro a divulgação técnica completa da CVE-2026-19949 (CVSS 8.8), uma injeção de SQL de segundo grau não autenticada na função de restauração de backup do plugin All-in-One WP Migration and Backup, da ServMask, usado…

O plugin pago “Custom User Registration Fields for WooCommerce”, da Addify, até a versão 2.2.3, aceita sem validação o valor do parâmetro afreg_select_user_role enviado por um atacante não autenticado na requisição de checkout da Store API do WooCommerce (/wc/store/v1/checkout), repassando-o…

A equipe de segurança do WordPress formalizou, após discussão no WordCamp US 2026, uma iniciativa chamada “Core Security Initiative”, estruturada em três pilares apelidados de “ABC”: um processo de lançamento de atualizações de segurança mais automatizado e com testes ponta…