CVE-2026-32502: Tema Borgholm Marketing Agency - Desserialização Insegura (Object Injection)

Visão geral

A CVE-2026-32502 descreve uma fraqueza de desserialização de dados não confiáveis (CWE-502) no tema Borgholm para agências de marketing, publicado pela Select-Themes. Segundo o registro, ela permite object injection e afeta versões do Borgholm abaixo de 1.6. A CVE foi publicada em 25/03/2026 e a CNA responsável é a Patchstack.

Impacto

A CNA atribuiu nota 9.8 no CVSS 3.1, classificada como crítica, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Object injection por desserialização insegura pode, em termos gerais, permitir que entradas não confiáveis influenciem objetos da aplicação. As consequências específicas neste tema não estão detalhadas no registro.
O vetor indica alcance pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade segundo a CNA.

Produtos e versões afetadas

Produto: Borgholm, tema borgholm-marketing-agency-theme, fornecedor Select-Themes.
Intervalo informado no registro: de uma versão inicial não especificada até versões abaixo de 1.6.
Os campos estruturados de versões afetadas e correções estão vazios no registro.

Status de exploração

Segundo o registro, a CVE não consta no catálogo KEV da CISA.
Não há exploração confirmada no mundo real nas fontes consultadas. A probabilidade EPSS é 0.00564 (percentil 0.45351), que é uma estimativa estatística e não evidência de exploração.

Correção e mitigação

Identifique todas as instalações do tema Borgholm e registre suas versões.
Inferência: como o intervalo informado termina abaixo de 1.6, uma versão igual ou superior a 1.6 estaria fora desse intervalo. Confirme com o fornecedor ou com o aviso da Patchstack antes de depender disso.
Quando não for possível aplicar atualizações rapidamente, limite a exposição administrativa e pública dos componentes afetados como medida defensiva temporária, e revise se dados não confiáveis chegam a rotinas de desserialização.
Teste as atualizações em ambiente de homologação e mantenha backups atualizados.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns a endpoints do tema ou parâmetros inesperados.
Monitore alterações inesperadas nos arquivos do site e criação de contas administrativas novas.
Consulte o aviso da Patchstack para eventuais indicadores específicos do fornecedor.

Limitações das informações disponíveis

O registro não tem título, não possui dados estruturados de versões afetadas ou corrigidas, e seu status de fonte é Deferred.
A versão inicial não especificada do intervalo é desconhecida.
O registro não contém detalhes do aviso do fornecedor sobre condições de exploração ou a versão corrigida, portanto essas informações permanecem desconhecidas.

Perguntas frequentes

O que é a CVE-2026-32502?

É uma vulnerabilidade de desserialização insegura (CWE-502) no tema Borgholm para agências de marketing, da Select-Themes, que permite object injection em versões abaixo de 1.6, segundo o registro.

Esta CVE está sendo explorada ativamente?

O registro não a lista no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas. Ainda assim, a nota crítica atribuída pela CNA deve ser levada a sério.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.