CVE-2026-27065: Plugin BuilderPress para WordPress (ThimPress) - Inclusão Local de Arquivo

Visão geral

A CVE-2026-27065 é registrada como uma vulnerabilidade de Inclusão Local de Arquivo no plugin BuilderPress para WordPress, da ThimPress. O registro descreve controle impróprio do nome de arquivo usado em uma instrução include ou require do PHP. O CNA é a Patchstack, e o registro informa que o problema afeta o BuilderPress até e incluindo a versão 2.0.1.

Impacto

Confirmado: o registro informa pontuação base CVSS 3.1 de 9.8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando acesso pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
Confirmado: os dados SSVC do registro classificam o problema como automatizável e com impacto técnico total.
Inferência: falhas de inclusão de arquivo desse tipo podem permitir que um agente remoto leve a aplicação web a ler ou processar arquivos que não deveria acessar, o que pode expor dados sensíveis ou facilitar comprometimento adicional do ambiente de hospedagem.

Produtos e versões afetadas

Produto: ThimPress BuilderPress (plugin para WordPress).
Faixa afetada: até e incluindo a versão 2.0.1, conforme o registro.
Versão corrigida: não informada no registro. A ausência de correção listada não confirma que ela não exista; consulte o fornecedor e a entrada da Patchstack para informações atualizadas.

Status de exploração

O registro não indica inclusão desta CVE no catálogo KEV da CISA, portanto não confirma exploração ativa na natureza.
Nenhuma exploração confirmada aparece nas fontes consultadas.
A probabilidade EPSS no registro é 0.00616 (percentil 0.4887) e o campo de exploração SSVC está como 'none'. Esses valores são estimativas e não confirmam exploração.

Correção e mitigação

Identifique todos os sites WordPress que utilizam o BuilderPress e registre as versões instaladas.
Como o registro não informa versão corrigida, consulte o fornecedor e a entrada da Patchstack para uma atualização ou orientação, priorizando sites com a versão 2.0.1 ou anterior.
Se não houver correção disponível, considere desativar ou remover temporariamente o plugin onde ele não for essencial, e restrinja o acesso às áreas administrativas e de plugins.
Mantenha o núcleo do WordPress e os demais plugins atualizados e revise as regras de firewall de aplicação web oferecidas pela sua hospedagem ou fornecedor de segurança.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns a endpoints do BuilderPress que contenham parâmetros de caminho de arquivo ou nomes de arquivo inesperados.
Monitore leituras de arquivos inesperadas, novos arquivos ou alterações nos diretórios do plugin.
Gere alertas para requisições com padrões de travessia de diretórios ou referências a arquivos do sistema, em nível geral, sem depender de uma única assinatura.

Limitações das informações disponíveis

O registro não informa versão corrigida, aviso técnico do fornecedor nem descrição técnica detalhada além do texto resumido.
A entrada de CWE é CWE-98, nomeada 'PHP Remote File Inclusion', enquanto a descrição e o título descrevem uma inclusão local de arquivo. Essa divergência deve ser verificada com o CNA ou com a entrada da Patchstack.
A data EPSS do registro (2026-10-23) é posterior à data de publicação e deve ser interpretada com cautela.
O status da fonte está registrado como Deferred.

Perguntas frequentes

O que é a CVE-2026-27065?

É uma vulnerabilidade de Inclusão Local de Arquivo no plugin BuilderPress para WordPress, da ThimPress, registrada como afetando versões até e incluindo a 2.0.1.

Esta vulnerabilidade está sendo explorada ativamente?

O registro não inclui esta CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Existe versão corrigida?

O registro não informa versão corrigida. Consulte o fornecedor e a entrada da Patchstack para orientações atualizadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.