CVE-2026-32520: Escalonamento de Privilégios no Plugin RewardsWP de Andrew Munro / AffiliateWP (CWE-266)
A CVE-2026-32520 é uma falha de atribuição incorreta de privilégios (CWE-266) no plugin WordPress RewardsWP, de Andrew Munro / AffiliateWP, que segundo o CNA permite escalonamento de privilégios nas versões até a 1.0.4. O CNA atribuiu nota 9.8 (crítica) pelo CVSS 3.1, mas o registro não informa versão corrigida e o limite inferior do intervalo afetado aparece como n/a. Não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-32520 é um problema de atribuição incorreta de privilégios (CWE-266) no plugin RewardsWP, atribuído a Andrew Munro e ao ecossistema AffiliateWP. Segundo o registro do CNA, ela permite escalonamento de privilégios em versões até a 1.0.4, inclusive.
Impacto
- O CNA classificou o problema com nota 9.8 (crítica) pelo CVSS 3.1, com vetor de rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade.
- Escalonamento de privilégios significa que um agente pode obter capacidades além das que lhe foram concedidas. O alcance prático depende da configuração do site WordPress, o que o registro não descreve.
Produtos e versões afetados
- Produto: RewardsWP (plugin rewardswp), com fornecedor indicado como Andrew Munro / AffiliateWP.
- Intervalo afetado: desde um limite inferior não especificado (indicado como n/a) até a versão 1.0.4, inclusive.
- Os campos estruturados de produtos afetados e correções estão vazios no registro, portanto nenhuma versão corrigida é confirmada aqui.
Status de exploração
Segundo o registro, a CVE não consta no catálogo KEV da CISA. Não há exploração ativa confirmada nas fontes consultadas. Os dados de EPSS do registro indicam probabilidade de cerca de 0,483% e percentil de cerca de 39,874%.
Correção e mitigação
- Verifique se o RewardsWP está instalado e qual versão está ativa.
- Se a versão instalada for a 1.0.4 ou anterior, consulte o aviso da Patchstack para orientações do fornecedor e atualize para uma versão que o fornecedor identifique como corrigida.
- Se não houver versão corrigida disponível ou se o plugin não for necessário, desative e remova-o, e considere outros controles que limitem o acesso à área administrativa.
- Após qualquer alteração, confirme a versão do plugin instalada.
Orientações de detecção
- Revise contas de usuário em busca de mudanças inesperadas de função ou capacidade, especialmente contas novas com direitos de administrador.
- Revise os logs do WordPress e do servidor web em busca de ações administrativas inesperadas relacionadas ao plugin.
- Monitore alterações não autorizadas nas configurações do plugin ou no conteúdo do site.
Limitações das informações disponíveis
- O limite inferior do intervalo afetado está indicado como n/a.
- O registro não contém versão corrigida, lista estruturada de produtos afetados nem detalhes de correção publicados pelo fornecedor.
- O componente vulnerável e os privilégios exatos obtidos não são descritos.
- A nota CVSS 3.1 de 9.8 vem do CNA; também há uma segunda entrada de pontuação com o mesmo valor.
Perguntas frequentes
O que a CVE-2026-32520 permite?
Segundo o registro do CNA, ela permite escalonamento de privilégios no plugin RewardsWP nas versões até a 1.0.4, inclusive.
Existe versão corrigida?
O registro não informa versão corrigida. Consulte o aviso da Patchstack e o fornecedor para informações de correção.
Essa vulnerabilidade está sendo explorada ativamente?
O registro indica que ela não consta no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.