CVE-2026-25030: Tema WordPress Goldish - Injeção de Objeto PHP
A CVE-2026-25030 é uma falha de desserialização de dados não confiáveis (CWE-502) no tema WordPress Goldish, da Park Of Ideas, que permite injeção de objeto PHP. A CNA Patchstack atribuiu nota 9.8 (crítica) e descreve o problema como afetando versões anteriores à 3.47. O registro não mostra exploração confirmada, não consta no KEV e não informa versão corrigida, por isso administradores devem confirmar a versão corrigida com o fornecedor ou com a Patchstack.
Visão geral
A CNA Patchstack publicou a CVE-2026-25030 para o tema Goldish do WordPress. A falha é classificada como desserialização de dados não confiáveis (CWE-502) e permite injeção de objeto PHP. O registro apresenta a faixa afetada de duas formas, como até 3.47 na entrada do produto e como anteriores à 3.47 na descrição, por isso o limite exato deve ser confirmado.
Impacto
- A nota base CVSS informada pela Patchstack é 9.8, classificada como crítica.
- Os dados SSVC do registro indicam que o problema é automatizável, com impacto técnico total.
- As consequências concretas dependem de como o tema trata entradas serializadas, algo que as fontes consultadas não descrevem.
Produtos e versões afetadas
- Produto: Park Of Ideas Goldish (tema Goldish para WordPress).
- Faixa afetada: anteriores à 3.47 segundo a descrição; a entrada estruturada indica até 3.47 inclusive.
- O registro não informa versão corrigida. O título sugere 3.47 como primeira versão corrigida, mas isso é uma inferência que precisa ser confirmada.
Status de exploração
- A CVE não consta no catálogo KEV da CISA no registro.
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
- O registro informa probabilidade EPSS de 0.00389 (percentil 0.31818), datada de 2026-10-23, e valor de exploração SSVC igual a none.
Correção e mitigação
- Verifique a versão instalada do Goldish e, se for anterior à 3.47, planeje a atualização para a versão que o fornecedor confirmar como corrigida.
- Se não for possível atualizar rapidamente, considere desativar o tema mantendo um plano de reversão testado.
- Restrinja o acesso às áreas administrativas e mantenha o núcleo do WordPress, plugins e temas atualizados.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns ao tema ou parâmetros inesperados com dados serializados.
- Procure alterações inesperadas em arquivos, usuários ou configurações do site, além de atividade administrativa incomum.
- Após a atualização, compare os arquivos do tema instalado com uma cópia confiável.
Limitações das informações disponíveis
- O registro não traz campo de versão corrigida nem aviso do fornecedor, apenas a entrada da base da Patchstack.
- O limite da faixa afetada aparece de forma inconsistente, como anteriores à 3.47 e como até 3.47.
- Não há detalhes técnicos além da classe da fraqueza nas fontes consultadas, e esta análise não descreve passos de exploração.
Perguntas frequentes
A CVE-2026-25030 está sendo explorada ativamente?
O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Quais versões do Goldish são afetadas?
A descrição indica versões anteriores à 3.47, enquanto a entrada estruturada indica até 3.47, por isso o limite exato deve ser confirmado com o fornecedor ou a Patchstack.
O que os administradores devem fazer agora?
Verificar a versão instalada do Goldish, planejar a atualização para uma versão confirmada como corrigida e considerar desativar o tema se a atualização não puder ser feita rapidamente.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.