CVE-2026-27083: Injeção de Objeto via Desserialização em Tema WordPress Work & Travel Company
A CVE-2026-27083 é uma fraqueza de desserialização de dados não confiáveis (CWE-502) no tema work-travel-company da ThemeREX, que afeta o Work & Travel Company até a versão 1.2 inclusive, conforme o registro. A CNA Patchstack atribuiu nota 9.8 (crítica) no CVSS 3.1, com vetor de rede, sem necessidade de privilégios ou interação do usuário. Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro não informa versão corrigida.
Visão geral
A CVE-2026-27083 descreve uma fraqueza de desserialização de dados não confiáveis, classificada como CWE-502, no tema WordPress work-travel-company, publicado pela ThemeREX. O registro indica que a falha permite injeção de objeto. Foi publicada em 25/03/2026 e atribuída pela CNA Patchstack.
Impacto
Segundo o vetor CVSS 3.1 fornecido pela CNA, a falha é acessível pela rede, não exige privilégios nem interação do usuário e tem alto impacto em confidencialidade, integridade e disponibilidade. A nota base é 9.8. Em termos gerais, a injeção de objeto por desserialização insegura pode permitir que um atacante influencie objetos da aplicação, mas o registro não detalha as consequências específicas neste tema.
Produtos e versões afetadas
- Produto: Work & Travel Company (work-travel-company), tema WordPress da ThemeREX.
- Faixa afetada conforme o registro: de n/a até a versão 1.2 inclusive.
O registro não traz dados estruturados de versões afetadas ou corrigidas, por isso os limites exatos da faixa não podem ser verificados nas fontes consultadas.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Não há exploração ativa confirmada nas fontes consultadas. A probabilidade EPSS é 0,00564 (percentil 0,45334), com data de 13/10/2026, o que é uma estimativa estatística e não evidência de exploração.
Correção e mitigação
- Identifique todos os sites que usam o tema Work & Travel Company e a versão exata instalada.
- Consulte o fornecedor ou o aviso da Patchstack para uma versão atualizada, pois o registro não indica versão corrigida.
- Até que uma correção seja verificada, considere restringir a exposição do site afetado, revisar regras de firewall de aplicação para o tema e limitar o acesso administrativo.
- Mantenha o núcleo do WordPress, plugins e outros temas atualizados, e remova temas não utilizados.
Orientações de detecção
- Inventarie os temas instalados e compare as versões com a faixa descrita no registro.
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns a componentes do tema e de alterações inesperadas em conteúdo do site ou contas administrativas.
- Acompanhe novos avisos de fornecedores que referenciem esta CVE.
Limitações das informações disponíveis
O registro não informa versão corrigida, lista de versões afetadas além da declaração de faixa, nomes de componentes ou endpoints vulneráveis, nem detalhes de correção. Os dados CVSS vêm somente da CNA. O limite inferior 'n/a' na faixa afetada não é claro. O status de exploração se limita ao campo KEV falso e à ausência de relatos de exploração nas fontes consultadas.
Perguntas frequentes
O que é a CVE-2026-27083?
É uma fraqueza de desserialização de dados não confiáveis (CWE-502) no tema WordPress Work & Travel Company da ThemeREX, que o registro indica permitir injeção de objeto.
Quais versões são afetadas?
O registro informa a faixa de n/a até 1.2 inclusive. Não há dados estruturados de versão, então verifique a versão instalada no aviso do fornecedor.
Existe correção?
O registro não lista versão corrigida. Consulte o aviso do fornecedor ou da Patchstack antes de concluir que não há correção.
Há exploração?
O catálogo KEV da CISA não lista esta CVE no registro, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.