CVE-2021-47932: Escalonamento de privilégios não autenticado no TheCartPress para WordPress

Visão geral

A CVE-2021-47932 afeta o TheCartPress, um plugin para WordPress que o registro identifica como Thecartpress TheCartPress. O registro descreve uma autorização ausente (CWE-862) no tratamento de requisições AJAX do plugin, o que permite que um usuário não autenticado crie contas de administrador. A CVE foi publicada em 10/05/2026 e o CNA responsável é a VulnCheck.

Impacto

O registro classifica o problema como crítico, com pontuação base CVSS 3.1 de 9.8 e vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. A VulnCheck também informa uma pontuação CVSS 4.0 de 9.3. Se explorada, a falha daria ao atacante controle administrativo total do site WordPress afetado, incluindo acesso a conteúdo, usuários e configurações.

Produtos e versões afetadas

Produto: Thecartpress TheCartPress (plugin para WordPress)
Versões afetadas: até a 1.5.3.6 inclusive, segundo o registro
Versões corrigidas: nenhuma listada no registro. Isso não comprova que não exista correção; a situação de uma correção é desconhecida nas fontes consultadas.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa confirmada nas fontes consultadas. O campo SSVC registra a exploração como prova de conceito e marca o problema como automatizável. O registro também contém uma referência marcada como material de exploração. A probabilidade EPSS é 0.00403 (data de 13/10/2026). Esses dados indicam que pode existir material público de exploração, mas não confirmam ataques em ambiente real.

Correção e mitigação

Identifique todos os sites WordPress que utilizam o TheCartPress e confirme a versão instalada.
Como o registro não lista versão corrigida, verifique a página oficial do plugin e os canais do fornecedor em busca de atualizações, e considere qualquer versão até a 1.5.3.6 como vulnerável até que uma correção seja confirmada.
Caso não exista correção disponível, considere remover ou desativar o plugin até que haja uma alternativa suportada ou uma versão corrigida.
Restrinja a criação de novas contas, revise as contas de administrador existentes em busca de registros inesperados e redefina credenciais onde houver contas suspeitas.

Orientações de detecção

Revise a lista de usuários em busca de contas de administrador criadas sem motivo documentado, especialmente em torno da data de publicação do aviso.
Audite os logs do servidor web e da aplicação em busca de requisições incomuns aos endpoints AJAX do plugin vindas de origens não autenticadas.
Monitore a atribuição de novos papéis de administrador e logins a partir de endereços desconhecidos após essa atividade.

Limitações das informações disponíveis

O registro não informa a versão exata da correção, o status atual de lançamento do plugin nem se o fornecedor publicou um aviso. Os dados de exploração (prova de conceito no SSVC e EPSS) são estimativas, não ataques confirmados. A faixa de versões afetadas vem do registro e deve ser verificada no histórico de lançamentos do próprio plugin.

Perguntas frequentes

O que a CVE-2021-47932 permite a um atacante fazer?

Segundo o registro, um atacante não autenticado pode criar contas de administrador no TheCartPress até a versão 1.5.3.6, o que pode levar ao controle administrativo total do site WordPress.

Esta vulnerabilidade está sendo explorada ativamente?

A CVE não consta no catálogo KEV da CISA e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O registro indica disponibilidade de prova de conceito e uma referência marcada como material de exploração.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.