Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
Resumo: Duas vulnerabilidades críticas (CVSS v4.0 9.2) no próprio interpretador PHP, apelidadas de “PHP2Shell”, permitem execução remota de código sem autenticação em qualquer aplicação PHP — WordPress, WooCommerce, Drupal, Magento, Joomla e Laravel —, independentemente de plugins ou tema. Detalhes…
Resumo: O plugin Payment Gateway for Telcell, antes da versão 2.0.5, não verifica a autenticidade das notificações de pagamento porque o segredo usado para assiná-las vem vazio por padrão. Assim, qualquer pessoa sem login pode forjar uma notificação e marcar…
Resumo: O plugin de agendamentos LatePoint, antes da versão 5.7.5, não valida no servidor o valor enviado pelo navegador que define quanto será cobrado pela reserva. Um visitante sem login pode zerar o valor devido e obter um agendamento confirmado…
Resumo: O plugin Translate WordPress with Weglot, nas versões anteriores à 6.4.3, não escapa as URLs que reinsere na página ao reescrever links para o idioma traduzido e ainda desfaz a codificação aplicada antes. Com isso, um visitante não autenticado…
Resumo: O plugin Easy Property Listings, usado por imobiliárias, não restringe quais campos dos anúncios são incluídos na saída pública da REST API em versões anteriores à 3.5.28. Com isso, visitantes sem login conseguem ler informações que o site optou…
Resumo: Parte dos pacotes do Rank Math SEO PRO 3.0.123 baixados ou atualizados entre 15/10/2026 às 20:02 UTC e 16/10/2026 às 07:12 UTC veio com código malicioso embutido (CVE-2026-111862, CVSS 9.8). Ao ativar o plugin, o malware se comunica com…
Resumo: A TeamUpdraft, fabricante do UpdraftPlus, confirmou acesso não autorizado ao site teamupdraft.com entre 17 e 18/10/2026; o banco de clientes continha chaves de conexão do UpdraftCentral, UpdraftVault e UpdraftClone. Atacantes usaram essas chaves válidas para enviar comandos assinados (plugin.upload_plugin)…
Resumo: O plugin EU VAT Assistant for WooCommerce, em todas as versões até a 2.1.30.260413, não sanitiza o parâmetro “vat_number” (CVE-2026-103899, CVSS 7.2). Qualquer visitante sem conta pode gravar um script no pedido, e esse script roda no navegador do…
Resumo: O plugin WP Booking System – Booking Calendar, até a versão 2.1.0.3, não verifica se o usuário tem permissão para ver o conteúdo dos e-mails de notificação de reservas (CVE-2026-108123, CVSS 7.5). Basta percorrer os identificadores booking_id e email_log_id…
Resumo: O plugin European VAT Compliance Assistant for WooCommerce, até a versão 1.36.10, grava sem sanitização o valor do cabeçalho HTTP CF-IPCountry nos metadados do pedido durante o checkout de visitante (CVE-2026-100316, CVSS 7.2). Com isso, qualquer pessoa sem conta…
Bypass de autenticação crítico no WPCOM Member (CVSS 9,8), falhas no Avada Fusion Builder, SiteOrigin e WPCode e vazamento de e-mails de comentaristas no SpeedyCache. WP BLOG BR Edição #09 Segurança & Infra WordPress As notícias de segurança e…
Resumo: A Wordfence divulgou uma SQL injection de segunda ordem no Backuply (até 1.5.8, CVSS 8.0), plugin de backup com mais de 600 mil instalações. Um usuário com papel de assinante grava um payload no campo “Informações biográficas” do perfil;…