CVE-2026-25447: Plugin WordPress Widget Wrangler - Injeção de Código (CWE-94)
Uma vulnerabilidade de injeção de código (CWE-94) afeta o plugin WordPress Widget Wrangler, de Jonathan Daggerhart, segundo o registro, nas versões até a 2.3.9 inclusive. A CNA audit@patchstack.com atribuiu pontuação 9.1 (crítica) no CVSS 3.1. Não há exploração confirmada nas fontes consultadas, e o registro não indica versão corrigida.
Visão geral
O registro descreve uma fragilidade de injeção de código (CWE-94) no plugin WordPress Widget Wrangler, de Jonathan Daggerhart. A faixa indicada vai de n/a até 2.3.9 (menor ou igual a 2.3.9). A CVE foi publicada em 25/03/2026 e a CNA responsável é audit@patchstack.com.
Impacto
A CNA atribuiu pontuação base 9.1 no CVSS 3.1, classificada como crítica. O vetor do registro descreve ataque acessível pela rede, de baixa complexidade, exigindo privilégios altos, sem interação do usuário, com escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade.
Produtos e versões afetadas
- Produto: Widget Wrangler (widget-wrangler), plugin WordPress de Jonathan Daggerhart.
- Faixa informada no registro: de n/a até 2.3.9.
- O registro não traz entradas estruturadas de versões afetadas ou corrigidas, portanto os limites exatos devem ser confirmados com o fornecedor ou com a entrada da Patchstack.
Status de exploração
Esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA nos dados consultados. Não há exploração confirmada nas fontes consultadas.
Remediação e mitigação
- Identifique todos os sites WordPress que usam o Widget Wrangler e registre a versão instalada.
- Atualize para uma versão posterior à 2.3.9 assim que a origem do plugin publicar uma. O registro não identifica versão corrigida.
- Se não houver versão corrigida e o plugin não for essencial, desative e remova-o.
- Restrinja o acesso administrativo e limite quem pode instalar ou gerenciar plugins, já que o vetor indica que são necessários privilégios altos.
- Mantenha o núcleo do WordPress e os demais plugins atualizados e consulte a entrada da Patchstack para mais detalhes.
Orientação de detecção
- Faça um inventário das versões do plugin em produção, homologação e desenvolvimento.
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns direcionadas ao plugin.
- Observe alterações inesperadas em arquivos de plugins ou temas e a criação de contas de administrador não reconhecidas.
Limitações das informações disponíveis
O registro não traz versões afetadas ou corrigidas estruturadas, nem descrição técnica do caminho de código vulnerável, e apresenta um valor EPSS sem contexto. O campo de título estava vazio, então o título foi derivado da descrição. O conteúdo da página da Patchstack citada não foi verificado nesta análise.
Perguntas frequentes
A CVE-2026-25447 é explorada ativamente?
Ela não consta no catálogo KEV da CISA nos dados consultados, e não há exploração confirmada nas fontes consultadas.
Quais versões do Widget Wrangler são afetadas?
O registro indica a faixa de n/a até 2.3.9, mas não traz entradas estruturadas de versões afetadas ou corrigidas.
O que os responsáveis pelos sites devem fazer agora?
Identificar as instalações, restringir o acesso administrativo e atualizar para uma versão corrigida quando ela for publicada. Se não houver correção e o plugin não for essencial, remova-o.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.