CVE-2026-25029: Tema WordPress KIDZ - vulnerabilidade de injeção de objeto PHP
Uma falha de injeção de objeto PHP, classificada como desserialização de dados não confiáveis (CWE-502), afeta o tema WordPress KIDZ de park_of_ideas até a versão 5.24, inclusive. A CNA Patchstack classificou-a como crítica, com pontuação CVSS 9.8, e não há exploração confirmada nas fontes consultadas. O registro não traz versão corrigida, por isso o status de correção deve ser verificado com o fornecedor e com a entrada da Patchstack.
Visão geral
O tema KIDZ para WordPress, publicado por park_of_ideas, contém uma fraqueza de desserialização de dados não confiáveis (CWE-502) que permite injeção de objeto PHP. O registro foi publicado em 25/03/2026 e a CNA Patchstack atribuiu-lhe severidade crítica, com pontuação base CVSS 9.8.
Impacto
- O registro afirma que a falha permite injeção de objeto, mas não descreve os efeitos concretos que um atacante poderia alcançar.
- O vetor informado indica alcance pela rede, ausência de privilégios exigidos, ausência de interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade (inferência a partir dos dados de pontuação).
- Como o componente afetado é um tema, a exposição prática depende de o trecho de código vulnerável ser acessível no site.
Produtos e versões afetadas
- Produto: Park Of Ideas KIDZ, tema para WordPress.
- Faixa afetada: até a versão 5.24, inclusive.
- O limite inferior da faixa não é especificado no registro (indicado como n/a).
- Nenhuma versão corrigida é listada no registro.
Status de exploração
- O registro indica que esta falha não consta no catálogo CISA KEV.
- Não há exploração ativa confirmada nas fontes consultadas.
- Os dados SSVC do registro classificam a exploração como none e a automatização como yes.
- A probabilidade EPSS é 0,00389, com percentil de 0,31818, datada de 2026-10-23 no registro; essa data deve ser verificada, pois é posterior à data de publicação.
Correção e mitigação
- Identifique se algum site utiliza o KIDZ na versão 5.24 ou anterior.
- Consulte a entrada da Patchstack e o fornecedor para verificar uma versão atualizada, já que o registro não traz uma.
- Se não houver versão corrigida, considere desativar temporariamente o tema ou restringir o acesso aos sites afetados, e planeje sua substituição.
- Mantenha o núcleo do WordPress, outros temas e plugins atualizados, além de backups testados.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns às funcionalidades do tema.
- Monitore erros PHP inesperados relacionados ao tratamento de objetos ou à desserialização.
- Use monitoramento de integridade de arquivos no diretório do tema para detectar alterações não autorizadas.
Limitações das informações disponíveis
- O registro não informa versão corrigida.
- O limite inferior da faixa afetada não é especificado.
- Não há detalhes técnicos do trecho vulnerável nem das condições de exploração.
- Apenas uma entrada de base de vulnerabilidades é referenciada, e a data da EPSS deve ser conferida.
Perguntas frequentes
Quais versões do tema KIDZ são afetadas?
O registro indica que o tema KIDZ de park_of_ideas é afetado até a versão 5.24, inclusive. O limite inferior não é especificado.
Existe uma versão corrigida disponível?
O registro não informa versão corrigida. Consulte o fornecedor e a entrada da Patchstack para verificar uma atualização.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que a falha não consta no CISA KEV, e não há exploração ativa confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.