CVE-2026-27071: Arraytics WPCafe (wp-cafe) - Falta de autorização (CWE-862)
O plugin WPCafe (wp-cafe), da Arraytics, apresenta uma falha de falta de autorização (CWE-862) reportada nas versões de n/a até 3.0.7. A CNA atribui CVSS 3.1 de 9.1 (crítico), e o registro não lista versão corrigida. A vulnerabilidade não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Visão geral
O registro descreve um problema de falta de autorização (CWE-862) no plugin WPCafe, da Arraytics, identificado como wp-cafe. A faixa afetada é reportada como de n/a até 3.0.7. A descrição da fonte indica que a falha está relacionada a níveis de segurança de controle de acesso configurados incorretamente. Os detalhes estão resumidos na entrada do NVD.
Impacto
- Os dados da CNA no registro atribuem pontuação base CVSS 3.1 de 9.1 (crítica), com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H.
- Conforme esse vetor, a falha é acessível pela rede, tem baixa complexidade, não exige privilégios nem interação do usuário, e tem alto impacto na confidencialidade e na disponibilidade, sem impacto na integridade.
- Na prática, uma parte remota sem conta poderia alcançar funções que deveriam ser restritas. Os dados ou ações expostos não são descritos no registro.
Produtos e versões afetadas
- Produto: WPCafe (wp-cafe), da Arraytics.
- Faixa reportada: de n/a até 3.0.7, inclusive.
- O registro não contém listas estruturadas de versões afetadas ou corrigidas.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Não há exploração confirmada no ambiente real nas fontes consultadas. O registro inclui probabilidade EPSS de 0.00454 e percentil de 0.37635, que é uma estimativa de probabilidade e não uma evidência de atividade.
Correção e mitigação
- O registro não informa versão corrigida. Verifique com o fornecedor e no aviso da Patchstack citado no registro qual é a versão corrigida atual, e atualize apenas para uma versão que o fornecedor confirme como corrigida.
- Enquanto a correção não for aplicada, reduza a exposição: limite o acesso à área administrativa do WordPress, revise quais perfis podem usar os recursos do WPCafe e remova plugins que não são necessários.
- Priorize este item no inventário de ativos devido à pontuação base crítica, avaliando a exposição de cada site.
Orientações de detecção
- Faça o inventário dos sites que usam WPCafe e compare as versões instaladas com a faixa reportada.
- Revise os logs do servidor web e da aplicação em busca de requisições inesperadas a funções do WPCafe feitas por sessões não autenticadas ou com poucos privilégios.
- Monitore alterações inesperadas em conteúdos gerenciados pelo plugin, novas contas administrativas ou mudanças de configuração.
Limitações das informações disponíveis
- O registro não traz detalhes de correção do fornecedor, nenhuma lista de versões afetadas além da faixa, nem a descrição da função vulnerável específica.
- O campo de título do registro está nulo, por isso o título usado aqui foi derivado dos metadados.
- A data do EPSS no registro é posterior à data de publicação e deve ser verificada na fonte.
- Os valores de severidade vêm da CNA e de um segundo provedor com valores idênticos; não havia análise independente de severidade disponível.
Perguntas frequentes
Esta vulnerabilidade é explorada ativamente?
O registro indica que ela não consta no KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Quais versões do WPCafe são afetadas?
O registro reporta a faixa de n/a até 3.0.7. Confirme a situação exata com os dados do fornecedor antes de agir.
O que fazer agora?
Verifique no aviso do fornecedor uma versão corrigida, restrinja o acesso à área administrativa e revise quais sites usam o WPCafe.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.