CVE-2026-11551: Plugin Branda para WordPress: tomada de conta por falta de verificação de identidade na troca de senha
A CVE-2026-11551 afeta o plugin Branda para WordPress em todas as versões até, inclusive, 3.4.29. O plugin não verifica adequadamente a identidade do usuário antes de atualizar uma senha, o que permite que atacantes não autenticados alterem senhas de outros usuários, inclusive administradores. O registro informa pontuação CVSS 3.1 de 9.8 (Crítica), e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O registro da CVE descreve uma fragilidade no plugin Branda para WordPress, cujo slug de pacote é branda-white-labeling. O plugin não verifica adequadamente a identidade do usuário antes de atualizar uma senha. O registro classifica o problema como CWE-640, Mecanismo Fraco de Recuperação de Senha.
Impacto
- O registro informa que atacantes não autenticados podem alterar as senhas de usuários arbitrários, inclusive administradores.
- Após a troca de senha, um atacante pode conseguir acesso à conta visada.
- A Wordfence atribui pontuação base CVSS 3.1 de 9.8 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Produtos e versões afetados
- O registro informa que todas as versões até, inclusive, 3.4.29 são afetadas.
- As listas estruturadas de afetados e de correções do registro estão vazias, portanto nenhuma versão corrigida é confirmada pelos dados.
- Uma alteração no trunk do plugin consta entre as referências, mas o registro não informa qual versão contém a correção.
Status de exploração
A CVE não consta no catálogo KEV da CISA segundo os dados consultados. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Identifique todos os sites WordPress em que o Branda está instalado e registre a versão instalada.
- Atualize o Branda para uma versão posterior à 3.4.29, conforme publicada pelo desenvolvedor do plugin, e confirme a correção no changelog oficial ou no repositório.
- Caso a atualização não possa ser aplicada de imediato, avalie a desativação do plugin até que uma versão corrigida esteja disponível, considerando o impacto operacional.
- Após a atualização, revise contas de administrador, histórico de trocas de senha e sessões ativas em busca de alterações inesperadas.
Orientações de detecção
- Revise os logs do servidor web e de autenticação do WordPress em busca de trocas de senha não relacionadas a um login legítimo ou a uma ação administrativa.
- Monitore a criação ou modificação inesperada de contas de administrador e logins de origens desconhecidas logo após trocas de senha.
- Correlacione alterações em registros de usuário com requisições direcionadas à funcionalidade do plugin Branda.
Limitações das informações disponíveis
- O registro não informa uma versão corrigida, uma lista estruturada de produtos afetados nem o texto completo de um aviso do fornecedor além da descrição.
- O registro não informa se a exploração depende de alguma configuração específica do plugin.
- Dados de EPSS e SSVC não estão disponíveis no registro.
- Esta análise não inclui detalhes técnicos de exploração.
Perguntas frequentes
Qual é o problema central da CVE-2026-11551?
Segundo o registro, o plugin Branda não verifica adequadamente a identidade do usuário antes de atualizar uma senha. Isso permite que atacantes não autenticados alterem senhas de outros usuários, inclusive de administradores.
Quais versões são afetadas?
O registro informa que todas as versões até, inclusive, 3.4.29 são afetadas. O registro não informa qual versão contém a correção, então administradores devem consultar a fonte oficial do plugin em busca de uma versão mais recente.
Há exploração conhecida desta vulnerabilidade?
A CVE não consta no catálogo KEV da CISA nos dados consultados, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.