CVE-2026-39619: Tema WordPress Busiprof: CSRF que leva a upload arbitrário de arquivos

Visão geral

A CVE-2026-39619 afeta o tema Busiprof para WordPress, publicado por priyanshumittal. O registro descreve uma falha de Cross-Site Request Forgery que pode ser explorada para enviar um web shell ao servidor web. A Patchstack, como CNA, atribuiu nota 9.6 (crítica) pelo CVSS 3.1. Os detalhes estão na entrada da Patchstack e no registro do NVD.

Impacto

O vetor CVSS é AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H, ou seja, acessível pela rede, baixa complexidade, sem privilégios exigidos, com necessidade de interação do usuário, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade. A descrição do registro aponta o upload arbitrário de arquivos como resultado.

Um web shell no servidor permitiria, em geral, executar comandos com o usuário do servidor web (inferência a partir da descrição, não afirmado no registro).
Dados armazenados pelo site, por administradores e por visitantes podem ser expostos ou alterados (inferência a partir do vetor CVSS).
A disponibilidade do site pode ser afetada (inferência a partir do impacto em disponibilidade).

Produtos e versões afetadas

Priyanshumittal Busiprof, tema WordPress, versões de n/a até 2.5.2 (o registro indica o limite superior como menor ou igual a 2.5.2 e não informa limite inferior).

Status de exploração

A CVE não consta no catálogo KEV da CISA no registro.
Os dados SSVC do registro indicam exploração como none e automatizável como no.
Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
A probabilidade EPSS informada é 0.00201, com percentil de 0.09218.

Correção e mitigação

O registro não informa versão corrigida. Verifique com o fornecedor e na entrada da Patchstack se há atualização posterior à 2.5.2 e aplique-a assim que disponível.
Se não houver correção confirmada, considere desativar ou remover o tema em sites onde ele não é essencial, planejando uma substituição.
Limite o tempo de sessões administrativas: encerre a sessão após o trabalho administrativo e evite navegar em sites não confiáveis enquanto estiver logado no painel do WordPress.
Restrinja os tipos de arquivo aceitos nos locais de upload e revise permissões de escrita em diretórios que não precisam delas.
Considere uma proteção temporária com firewall de aplicação web, conforme orientação do fornecedor ou do provedor, até a correção ser aplicada.

Orientações de detecção

Revise os logs do servidor web e do WordPress em busca de requisições inesperadas que alterem estado em endpoints do tema ou administrativos, especialmente com referenciadores externos.
Procure arquivos de script criados ou modificados recentemente em pastas de upload, diretórios do tema e outros caminhos graváveis.
Use monitoramento de integridade de arquivos ou comparação periódica com uma cópia confiável da instalação do WordPress.
Investigue arquivos desconhecidos ou conexões de saída iniciadas pelo servidor web.

Limitações das informações disponíveis

O registro não informa versão corrigida, texto de aviso do fornecedor nem limite inferior da faixa afetada.
O registro não descreve o endpoint vulnerável nem as condições exatas para exploração.
A data EPSS do registro não foi usada para tirar conclusões aqui.
As informações acima se baseiam apenas no registro e nas páginas citadas.

Perguntas frequentes

Quais versões do tema Busiprof são afetadas pela CVE-2026-39619?

O registro indica o Busiprof, de priyanshumittal, de n/a até 2.5.2 inclusive. Não informa limite inferior para a faixa.

A CVE-2026-39619 é explorada na prática?

O registro mostra que a CVE não consta no catálogo KEV da CISA e marca a exploração no SSVC como none. Não aparece exploração ativa confirmada nas fontes consultadas.

O que os responsáveis pelos sites devem fazer agora?

Verifique se há atualização posterior à 2.5.2 com o fornecedor ou a Patchstack e aplique assim que disponível. Se nenhuma correção for confirmada, considere desativar o tema e, enquanto isso, revise logs e pastas de upload em busca de arquivos inesperados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.