Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
O plugin pago “Custom User Registration Fields for WooCommerce”, da Addify, até a versão 2.2.3, aceita sem validação o valor do parâmetro afreg_select_user_role enviado por um atacante não autenticado na requisição de checkout da Store API do WooCommerce (/wc/store/v1/checkout), repassando-o…
O plugin pago “Custom User Registration Fields for WooCommerce”, da Addify, até a versão 2.2.3, aceita sem validação o valor do parâmetro afreg_select_user_role enviado por um atacante não autenticado na requisição de checkout da Store API do WooCommerce (/wc/store/v1/checkout), repassando-o…
Wordfence e Patchstack divulgaram em 29 de agosto quatro novas falhas críticas (CVSS entre 9.8 e 10.0), além de reforçar a vulnerabilidade já conhecida do tema Avada (CVE-2026-18431, coberta nesta curadoria em 28/08). No WPMU DEV Dashboard (CVE-2026-76581), um bypass…
A equipe do WP Rocket (plugin de cache muito popular) enviou um aviso a clientes informando que uma vulnerabilidade descoberta na noite de 26-27 de agosto pode ter exposto o e-mail da conta, a chave de licença do WP Rocket…
Pesquisadores da Wordfence, usando um agente de IA interno chamado Argus, encadearam seis falhas distintas de autorização, validação de entrada e manipulação de arquivos no tema Avada (até a versão 7.16) e no plugin Fusion Builder (até a versão 3.16)…
Atacantes estão explorando ativamente (varredura em massa a partir de diversos IPs) duas falhas críticas de bypass de autenticação no plugin miniOrange SAML 2.0 Single Sign On, que permitem logar como qualquer usuário do WordPress, inclusive administradores. A CVE-2026-15981 (CVSS…