CVE-2026-3461: Plugin Visa Acceptance Solutions para WordPress: bypass de autenticação no checkout de convidado

Visão geral

A CVE-2026-3461 é um bypass de autenticação no plugin Visa Acceptance Solutions para WordPress. Segundo o registro, o plugin autentica um usuário durante o checkout de convidado para produtos de assinatura apenas com base em um endereço de e-mail de cobrança, sem comprovar a posse do e-mail, sem senha e sem token de uso único. A fraqueza é classificada como CWE-288.

Impacto

Segundo o registro, uma parte não autenticada poderia entrar como qualquer usuário existente, inclusive administradores.
A tomada de controle de contas pode levar ao comprometimento completo do site WordPress.
O registro classifica o problema como crítico, com pontuação base CVSS 3.1 de 9,8, refletindo acessibilidade pela rede, ausência de privilégios exigidos e nenhuma interação do usuário.

Produtos e versões afetadas

Produto: plugin Visa Acceptance Solutions para WordPress.
Versões: o registro indica todas as versões até a 2.1.0, inclusive.
Os campos estruturados de versões afetadas e correções estão vazios no registro, então os limites exatos de versão devem ser confirmados com o fornecedor e com o repositório do plugin.

Status de exploração

O registro não inclui esta vulnerabilidade no catálogo Known Exploited Vulnerabilities da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas. Os dados de EPSS do registro indicam probabilidade estimada de exploração de cerca de 0,84 por cento, em torno do 57º percentil.

Correção e mitigação

Nenhuma versão corrigida é identificada nos dados disponíveis. Verifique a página do plugin e os comunicados do fornecedor em busca de uma versão atualizada e aplique-a assim que for validada.
Se nenhuma correção for confirmada, considere desativar o plugin ou desabilitar o checkout de convidado para produtos de assinatura até que o problema seja resolvido.
Revise contas de administrador e demais contas privilegiadas, redefina credenciais onde houver atividade suspeita e exija autenticação forte em acessos administrativos.
Mantenha o núcleo do WordPress, os plugins e os temas atualizados e remova plugins que não estejam em uso.

Orientações de detecção

Revise os logs do servidor web e de autenticação do WordPress em busca de logins de administradores que não correspondam a sessões conhecidas, especialmente próximos a atividades de checkout de assinatura.
Procure usuários administradores criados recentemente, alterações inesperadas de função e redefinições de senha não iniciadas pelo titular da conta.
Monitore o tráfego de checkout em busca de volumes incomuns de pedidos de convidados associados a e-mails de clientes já existentes.

Limitações das informações disponíveis

O registro não inclui comunicado do fornecedor, versão corrigida nem telemetria de exploração.
O status da fonte está registrado como Deferred, e o registro não explica o significado desse status.
A data do EPSS no registro é posterior à data de publicação, então os valores de EPSS devem ser tratados apenas como um retrato do registro.
Fontes consultadas: entrada na NVD e entrada na Wordfence.

Perguntas frequentes

Esta vulnerabilidade está sendo explorada ativamente?

O registro não a inclui no catálogo Known Exploited Vulnerabilities da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Quais versões são afetadas?

O registro indica todas as versões do plugin Visa Acceptance Solutions para WordPress até a 2.1.0, inclusive.

Existe uma versão corrigida?

O registro não identifica uma versão corrigida. Verifique o fornecedor e a página do plugin e considere desabilitar o checkout de convidado para assinaturas até que uma correção seja confirmada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.