CVE-2026-39617: Vulnerabilidade CSRF no Tema Bluestreet para WordPress (até 1.7.3)
O CVE-2026-39617 é uma falha de Cross-Site Request Forgery (CSRF) no tema Bluestreet, de priyanshumittal, classificada como CWE-352. O registro indica faixa afetada até a versão 1.7.3 inclusive e pontuação CVSS 3.1 de 9.6 (crítica). Não há confirmação de exploração ativa nas fontes consultadas, e o registro indica que o CVE não está listado no KEV da CISA.
Visão geral
O registro descreve uma falha de Cross-Site Request Forgery (CSRF) no tema Bluestreet, publicado por priyanshumittal e classificado como CWE-352. A única referência do registro aponta para uma entrada da base da Patchstack sobre um tema Bluestreet para WordPress, e o endereço dessa entrada sugere possível instalação arbitrária de plugins.
Impacto
Falhas de CSRF permitem que uma requisição seja enviada em nome de um usuário autenticado, sem que ele pretenda a ação. O vetor CVSS 3.1 registrado classifica os impactos de confidencialidade, integridade e disponibilidade como altos, com escopo alterado e necessidade de interação do usuário. As consequências reais dependem das ações que o site permite a um usuário autenticado.
Produtos e versões afetadas
- Produto: tema Bluestreet, de priyanshumittal, descrito na referência como tema WordPress.
- Faixa afetada informada no registro: desde n/a até a versão 1.7.3, inclusive.
- O limite inferior não é informado (n/a). Nenhuma versão corrigida consta no registro.
Status de exploração
O registro indica que o CVE não está listado no KEV da CISA. Não há confirmação de exploração ativa nas fontes consultadas nesta análise. A probabilidade EPSS é de 0,00201, com percentil de 0,09218, com data 2026-10-13 conforme registrado.
Correção e mitigação
- Verifique se o tema Bluestreet está instalado em seus sites WordPress e qual versão está ativa.
- Considere as versões até a 1.7.3, inclusive, como afetadas. Consulte o fornecedor ou a entrada da Patchstack para uma versão atualizada; o registro não indica nenhuma.
- Enquanto não houver correção confirmada, reduza a exposição: limite sessões administrativas a navegadores confiáveis, encerre sessões administrativas quando não estiverem em uso e restrinja quem pode acessar a área administrativa.
- Mantenha o núcleo do WordPress e os demais plugins atualizados e revise temas e plugins adicionados recentemente em busca de itens inesperados.
Orientações de detecção
- Revise os logs administrativos em busca de instalações de plugins ou temas e de alterações de configuração que não tenham sido iniciadas pelos administradores.
- Procure plugins novos inesperados, configurações alteradas ou contas de administrador criadas recentemente.
- Monitore os logs do servidor web em busca de requisições que alteram estado em endpoints administrativos sem o referrer esperado ou vindas de origens desconhecidas.
Limitações das informações disponíveis
O registro não traz limite inferior da faixa afetada, versão corrigida, texto de aviso do fornecedor além da descrição, nem detalhes técnicos da falha. O título em inglês está ausente. A pontuação CVSS é informada por dois provedores com o mesmo valor. A data da EPSS é posterior à data de publicação e deve ser verificada no feed atual.
Perguntas frequentes
Quais versões do Bluestreet são cobertas pelo CVE-2026-39617?
O registro indica a faixa de desde n/a até a versão 1.7.3, inclusive. O limite inferior não é informado e nenhuma versão corrigida consta no registro.
Este CVE está sendo explorado ativamente?
O registro indica que o CVE não está listado no KEV da CISA, e não há confirmação de exploração ativa nas fontes consultadas nesta análise.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.