Relevância Baixa

Resumo: O plugin Payment Gateway for Telcell, antes da versão 2.0.5, não verifica a autenticidade das notificações de pagamento porque o segredo usado para assiná-las vem vazio por padrão. Assim, qualquer pessoa sem login pode forjar uma notificação e marcar…

Resumo: O plugin Easy Property Listings, usado por imobiliárias, não restringe quais campos dos anúncios são incluídos na saída pública da REST API em versões anteriores à 3.5.28. Com isso, visitantes sem login conseguem ler informações que o site optou…

Resumo: O plugin de cache SpeedyCache, da Softaculous, até a versão 1.4.2, grava em cache páginas que trazem preenchidos o nome e o e-mail de comentaristas que já voltaram ao site (via cookies comment_author_*). Qualquer visitante sem login que acessar…

Resumo: O pesquisador Ananda Dhakal, da Patchstack, reportou uma injeção de SQL (CVE-2026-42708, CVSS 7.6) no plugin WP Post Author, da AF Themes, que afeta as versões até a 4.0.0 e foi corrigida na 4.0.1. A Patchstack classifica a prioridade…

Resumo: A Patchstack divulgou uma vulnerabilidade de exposição de dados sensíveis (CVE-2026-105876, CVSS 5.3) no Modula Image Gallery, popular plugin de galerias de imagens, nas versões até a 3.0.11. A correção está na versão 3.0.12. A falha tem prioridade baixa,…

Resumo: Uma falha de Cross-Site Scripting (CVE-2026-105871, CVSS 6.5) foi divulgada pela Patchstack no Element Pack Elementor Addons, da BdThemes, afetando as versões até a 8.8.6; a correção está na 8.8.7. A vulnerabilidade foi reportada em setembro e tem prioridade…

Resumo: A Patchstack publicou em 7 de outubro uma vulnerabilidade de Cross-Site Scripting (CVE-2026-104393, CVSS 6.5) no Happy Addons for Elementor, que afeta as versões até a 3.50.0 e foi corrigida na 3.50.1. A Patchstack classifica a falha como de…

Resumo: O plugin WP Ultimate Review, até a versão 2.4.3, não valida corretamente um valor antes de passá-lo para do_shortcode (CVSS 5.4). Um usuário autenticado com nível de assinante ou superior pode usar o escape de colchetes duplos ([[tag]]), que…

Resumo: O plugin Nelio Content (calendário editorial e publicação automática em redes sociais), até a versão 4.5.0, não verifica corretamente a autorização na API REST de mensagens reutilizáveis. Qualquer usuário com papel de colaborador ou superior pode excluir permanentemente mensagens…

Resumo: O CMB2, biblioteca de metaboxes e campos personalizados muito usada por temas e plugins, tem uma falha de XSS armazenado no tipo de campo “file_list” até a versão 2.13.0 (CVSS 7.2). A exploração só é possível quando um tema…

Resumo: O Patchstack divulgou uma falha de ausência de autorização no plugin WPMobile.App (wpappninja), usado para transformar sites WordPress em aplicativos móveis. Versões até a 11.83 permitem que um atacante sem autenticação obtenha dados sensíveis embutidos no plugin (CVSS 4.0:…