CVE-2026-22500: Tema WordPress m2 Construction and Tools Store - Injeção de Objeto PHP por desserialização (até 1.1.2)
A CVE-2026-22500 é uma falha de desserialização de dados não confiáveis (CWE-502) no tema m2 Construction and Tools Store, da axiomthemes, que afeta versões até 1.1.2 inclusive. A Patchstack atribuiu nota 9.8 (crítica) e o registro descreve ataques pela rede sem necessidade de privilégios nem interação do usuário. Não há versão corrigida nem exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-22500 é uma fraqueza de desserialização de dados não confiáveis (CWE-502) no tema WordPress m2 Construction and Tools Store (m2-ce), da axiomthemes. A descrição informa que o problema permite Object Injection e afeta o tema de uma versão inicial não especificada até a 1.1.2 inclusive. A Patchstack é o CNA e publicou o registro em 25/03/2026.
Impacto
A injeção de objetos por desserialização insegura pode permitir que um atacante influencie quais objetos a aplicação cria e como se comportam, o que pode levar à execução de código, acesso a dados ou negação de serviço, dependendo das classes disponíveis na aplicação. O vetor CVSS 3.1 do registro indica ataque pela rede, baixa complexidade, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. Os campos SSVC do registro classificam o impacto técnico como total e o problema como automatizável.
Produtos e versões afetadas
- Produto: tema WordPress axiomthemes m2 | Construction and Tools Store.
- Faixa afetada: até a 1.1.2 inclusive, conforme o registro.
- Versão corrigida: nenhuma é listada no registro. A ausência de correção listada não confirma que ela não exista.
Status de exploração
A vulnerabilidade não consta na lista KEV da CISA, portanto não é possível afirmar exploração ativa confirmada a partir do registro. A probabilidade EPSS é 0,00529, com percentil de 0,43941. Não foram encontrados relatos de exploração nas fontes consultadas.
Correção e mitigação
- Verifique a versão do tema em sua instalação WordPress e considere vulneráveis as versões até a 1.1.2.
- Consulte a entrada da Patchstack para orientações atualizadas do fornecedor e eventual versão corrigida, já que nenhuma consta no registro.
- Se não houver correção disponível, avalie desativar ou substituir o tema até que uma versão corrigida seja confirmada.
- Restrinja o acesso a áreas administrativas quando possível e mantenha o núcleo do WordPress e os plugins atualizados.
Orientação para detecção
- Inventarie os sites que usam o tema m2 e registre a versão instalada.
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns a componentes do tema e de dados serializados inesperados.
- Monitore alterações inesperadas de arquivos, novas contas administrativas e conexões de saída incomuns a partir do servidor web.
Limitações das informações disponíveis
O registro não informa o componente exato vulnerável, o ponto de entrada, as condições necessárias nem a versão corrigida. A expressão 'from n/a' na descrição não deixa claro a primeira versão afetada. Os valores SSVC e EPSS vêm do registro e não foram verificados de forma independente.
Perguntas frequentes
O que é a CVE-2026-22500?
É uma falha de desserialização de dados não confiáveis (CWE-502) no tema WordPress m2 Construction and Tools Store, da axiomthemes, que permite Object Injection nas versões até a 1.1.2 inclusive.
A vulnerabilidade está sendo explorada ativamente?
O registro não mostra inclusão na lista KEV da CISA, portanto a exploração ativa não pode ser confirmada por ele. Não há relatos de exploração nas fontes consultadas.
Existe versão corrigida?
Nenhuma versão corrigida consta no registro. Consulte a entrada da Patchstack para orientações do fornecedor antes de definir a correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.