CVE-2026-12416: Plugin Invoice Generator para WordPress - Tomada de conta via redefinição de senha
O plugin Invoice Generator para WordPress possui uma falha na redefinição de senha que permite a atacantes não autenticados definir a senha de contas arbitrárias, incluindo administradores. O registro informa que todas as versões até e incluindo a 1.0.0 são afetadas e classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.8. O registro não lista versão corrigida nem exploração confirmada.
Visão geral
O plugin Invoice Generator para WordPress contém uma falha no tratamento da redefinição de senha que pode permitir que visitantes não autenticados alterem a senha de contas do WordPress, incluindo contas de administrador. O manipulador afetado é acessível sem login, não possui verificações de nonce e de autorização, e a comparação do código de redefinição é fraca.
Impacto
- Um atacante não autenticado pode conseguir assumir qualquer conta em um site afetado.
- A tomada de uma conta de administrador permitiria controle sobre conteúdo, plugins, usuários e configurações do site.
- O registro classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.8 e vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, conforme informado pelo CNA.
Produtos e versões afetadas
- Produto: plugin Invoice Generator para WordPress.
- Versões: a descrição indica todas as versões até e incluindo a 1.0.0.
- O campo estruturado de versões afetadas no registro está vazio, por isso a faixa exata deve ser confirmada com as referências e com o fornecedor.
Status de exploração
- O registro não lista este CVE no catálogo CISA KEV, portanto a exploração ativa não é confirmada por essa fonte.
- Nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas para esta análise.
Correção e mitigação
- O registro não informa versão corrigida. Verifique a versão atual e o changelog do plugin antes de presumir que existe uma correção.
- Se o plugin estiver instalado e não houver versão corrigida verificada, desativá-lo e removê-lo reduz a exposição.
- Após revisar o site, redefina as senhas de administradores e de outras contas privilegiadas, especialmente em sites em que o plugin estava acessível pela internet.
- Mantenha o WordPress e os demais plugins atualizados e limite a exposição pública desnecessária de funções administrativas.
Orientação para detecção
- Revise os logs do servidor web e da aplicação em busca de requisições não autenticadas ao endpoint AJAX do WordPress relacionadas a funções de senha ou conta deste plugin.
- Procure alterações de senha inesperadas, novas contas de administrador ou perfis de usuário alterados, principalmente em contas que nunca solicitaram redefinição de senha.
- Correlacione esses eventos com a presença e a versão do plugin no site.
Limitações das informações disponíveis
- O registro não contém versão corrigida, dados estruturados de versões afetadas, pontuação EPSS nem dados SSVC.
- O status do registro é Deferred, e esta análise se baseia apenas na descrição e nas referências listadas.
- O slug do plugin nas URLs de referência (invoice-creator) difere do nome do produto na descrição; confirme que ambos se referem ao mesmo plugin.
Perguntas frequentes
Quais versões do plugin Invoice Generator são afetadas?
A descrição indica todas as versões até e incluindo a 1.0.0. O registro não fornece dados estruturados de versões afetadas, então confirme a faixa exata nas referências.
Esta vulnerabilidade está sendo explorada ativamente?
O registro não lista o CVE-2026-12416 no catálogo CISA KEV, e nenhuma exploração confirmada no ambiente real aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.