Falha crítica no 10Web Booster permite enviar arquivos executáveis sem login por meio de nonce vazado (CVE-2026-108587) Fique de olho
Um invasor sem login consegue enviar arquivos executáveis e tomar o site. Até a publicação não havia correção.
Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
Relevância Alta
Falha crítica no WPCOM Member permite login sem senha em qualquer conta via callback de login social (CVE-2026-104803) Atualize esta semana
Um visitante sem login consegue entrar no site como qualquer usuário, inclusive administrador, sem senha.
Falha crítica de upload de arquivos no Bricksforge é explorada ativamente e permite executar código sem login (CVE-2026-85097) Atue hoje
Invasores já estão usando esta falha para enviar arquivos com código e assumir sites, sem precisar de login.
Falhas XSS no Ninja Forms e no WPC Product Bundles são exploradas para criar administradores ocultos em sites WordPress Atue hoje
Criminosos estão usando falhas nesses dois plugins para esconder um código em pedidos e formulários. Quando o administrador abre o conteúdo, o site ganha administradores ocultos.
WordPress 7.1.3 corrige sete falhas de segurança, incluindo XSS armazenado e SQL injection na exportação Atualize esta semanaTodos os sites
A versão 7.1.3 corrige sete falhas no próprio WordPress, entre elas uma que permite atacar pelo campo de comentários.
Falha crítica de SQL injection no Unlimited Elements For Elementor permite extrair dados do banco sem login (CVE-2026-103355) Fique de olho
Um invasor sem login consegue extrair dados do banco, como usuários e senhas criptografadas. Ainda não havia correção.
Falha crítica no Beaver Builder permite que visitantes sem login executem shortcodes arbitrários (CVE-2026-92084) Atualize esta semana
Em páginas com widget de comentários, um visitante sem login consegue acionar shortcodes de outros plugins.
Plugin de agendamentos VikAppointments tem falha crítica que permite apagar arquivos do servidor sem login (CVE-2026-87115) Atualize esta semana
Em uma configuração específica, um visitante sem login consegue apagar qualquer arquivo do servidor, inclusive o que mantém o site no ar.
Falha crítica no plugin JSON API Auth permite roubar sessão de administrador sem login (CVE-2026-97637) Fique de olho
Um visitante sem login pode reaproveitar o login de um administrador guardado em cache e entrar no site como ele.
Resumo de setembro da Sucuri: falhas sem autenticação em WPForms, Really Simple Security, WooCommerce e GTranslate exigem atualização Atualize esta semana
Resumo mensal com falhas sem login em plugins muito usados. Se você usa algum deles, atualize para a versão indicada.
Malware “SC” para WordPress se reconstrói sozinho após a remoção, usando banco de dados e memória do servidor Relevância: Alta
Resumo: Pesquisadores da Sucuri analisaram a família de malware “SC”, que cria pelo menos oito pontos de persistência interligados — diretiva auto_prepend_file no .user.ini, loaders PHP ocultos, os drop-ins wp-content e advanced-cache.php, bloco injetado no functions.php do tema, must-use plugin…
Falha sem autenticação no plugin Testimonials Widget permite criar ou sobrescrever qualquer post do site (CVE-2026-96532) Fique de olho
Qualquer visitante, sem login, consegue criar posts ou reescrever título e conteúdo de qualquer post do site. Não havia correção na publicação.