CVE-2026-25366: Themeisle Woody ad snippets (insert-php) para WordPress: injeção de código com RCE
A CVE-2026-25366 é uma falha de injeção de código (CWE-94) no plugin Themeisle Woody ad snippets para WordPress (slug insert-php), afetando versões até a 2.7.1, inclusive. A Patchstack atribui CVSS 3.1 de 9,9 (crítica), exigindo apenas privilégios baixos pela rede. Não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-25366 é uma falha de controle inadequado da geração de código (CWE-94, injeção de código) no Themeisle Woody ad snippets, plugin para WordPress distribuído com o slug insert-php. A CNA, Patchstack, classifica o problema como execução remota de código. A publicação ocorreu em 2026-03-25 e o status no NVD consta como Deferred.
Impacto
A Patchstack atribui pontuação base CVSS 3.1 de 9,9 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Ou seja, a falha é acessível pela rede, com baixa complexidade, exige conta autenticada com poucos privilégios, dispensa interação do usuário e tem escopo alterado, com alto impacto em confidencialidade, integridade e disponibilidade. Na prática, um usuário do WordPress com poucos privilégios poderia executar código arbitrário no servidor, possivelmente comprometendo todo o site. A avaliação SSVC do CISA ADP indica impacto técnico total.
Produtos e versões afetados
- Themeisle Woody ad snippets (insert-php): todas as versões até a 2.7.1, inclusive
O registro não informa uma versão corrigida.
Status de exploração
A vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA, e a avaliação SSVC registra exploração como nenhuma e automatizável como não. Não há exploração confirmada nas fontes consultadas. Não há pontuação EPSS no registro.
Correção e mitigação
- Consulte o alerta da Patchstack e o canal oficial do plugin em busca de atualização posterior à 2.7.1, aplicando-a assim que disponível.
- Se não for possível confirmar uma versão corrigida, avalie desativar e remover o plugin, sobretudo em sites com cadastro aberto de usuários.
- Revise e reduza contas de usuário, desative o cadastro público quando desnecessário e exija autenticação forte.
- Utilize WAF ou serviço de virtual patching que cubra este plugin, se houver.
Orientações de detecção
- Faça inventário dos sites WordPress com o plugin insert-php e registre as versões instaladas.
- Revise os snippets armazenados pelo plugin em busca de código inesperado ou não autorizado.
- Monitore arquivos PHP novos ou alterados, contas administrativas inesperadas e conexões de saída incomuns a partir dos servidores web.
- Analise logs web e de aplicação em busca de requisições incomuns ao plugin feitas por contas de baixo privilégio.
Limitações das informações disponíveis
O registro não detalha a funcionalidade vulnerável, o papel mínimo exigido além de "privilégios baixos" nem uma versão corrigida. Não há dados de EPSS. As informações baseiam-se principalmente na entrada da Patchstack e nos registros do NVD/CVE.
Perguntas frequentes
Quais versões do Woody ad snippets são afetadas?
Todas as versões até a 2.7.1, inclusive, segundo o registro da CNA.
A CVE-2026-25366 está sendo explorada?
Ela não está no catálogo KEV da CISA e a avaliação SSVC indica exploração como nenhuma; não há exploração confirmada nas fontes consultadas.
O atacante precisa de uma conta?
Sim. O vetor CVSS indica que são necessários privilégios baixos, então um usuário autenticado com pouco acesso poderia abusar da falha.
Existe versão corrigida?
O registro não informa. Isso não significa que não haja correção; consulte o alerta da Patchstack e o canal oficial do plugin.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.