CVE-2026-39640: Plugin WordPress Theme Editor: CSRF com injeção de código

Visão geral

A CVE-2026-39640 descreve uma fraqueza de Cross-Site Request Forgery (CSRF) no plugin Theme Editor (theme-editor), de mndpsingh287. O registro afirma que a falha permite injeção de código e a associa ao CWE-352. A referência da Patchstack está disponível em entrada da base Patchstack e o registro na NVD em NVD CVE-2026-39640.

Impacto

O registro afirma que o problema permite injeção de código.
Em geral, a CSRF faz com que o navegador de um usuário autenticado envie requisições que ele não pretendia. Assim, um usuário com privilégios que visite uma página maliciosa pode ser o gatilho.
O vetor CVSS 3.1 do registro (CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H) descreve ataque pela rede, baixa complexidade, nenhum privilégio exigido, interação do usuário exigida, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade.
O trecho da URL da Patchstack menciona execução remota de código, mas o texto do próprio registro fala apenas em injeção de código.

Produtos e versões afetadas

Produto: Theme Editor (theme-editor), de mndpsingh287, identificado como plugin do WordPress na referência da Patchstack.
Intervalo informado na descrição: desde n/a até 3.2, inclusive.
O registro não traz listas estruturadas de versões afetadas ou corrigidas, de modo que a descrição é a única informação de versão disponível.

Status de exploração

O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA.
Não há exploração ativa confirmada nem exploração observada na natureza nas fontes consultadas.
A probabilidade EPSS é 0,00201, com percentil 0,09219, com data de 2026-10-13 no registro.

Correção e mitigação

O registro não identifica uma versão corrigida. Verifique o repositório oficial de plugins do WordPress ou o fornecedor em busca de uma versão posterior à 3.2 e aplique-a.
Se não houver versão corrigida e o plugin não for essencial, desative-o e remova-o.
Restrinja contas de administrador e editor às pessoas que realmente precisam delas e oriente os usuários a encerrar sessões administrativas ao final do uso.
Restrinja o acesso às páginas administrativas do plugin sempre que o ambiente de hospedagem permitir.
Desative a edição direta de arquivos no WordPress onde ela não for necessária e limite quem pode alterar arquivos de tema.

Orientações de detecção

Analise os logs do servidor web e do WordPress em busca de requisições inesperadas às funções administrativas do plugin, especialmente com referenciadores desconhecidos ou fora da atividade administrativa normal.
Monitore arquivos de tema e de plugin quanto a alterações inesperadas e compare-os com cópias confiáveis.
Observe arquivos PHP novos ou modificados em diretórios de tema e alterações inesperadas em contas de administrador.

Limitações das informações disponíveis

O registro não traz versões afetadas estruturadas, versão corrigida nem aviso oficial do fornecedor além da referência da Patchstack.
O limite inferior do intervalo está registrado como n/a, portanto a primeira versão afetada é desconhecida.
Os dados de CVSS vêm da CNA Patchstack, e o registro não mostra uma avaliação separada.
Detalhes do mecanismo de ataque e a existência de prova de conceito pública não constam no registro.
A data do EPSS é posterior à data de publicação e deve ser verificada no feed atual.

Perguntas frequentes

O que é a CVE-2026-39640?

É uma vulnerabilidade de Cross-Site Request Forgery no plugin Theme Editor, de mndpsingh287. O registro diz que ela permite injeção de código e afeta versões desde n/a até 3.2.

Existe versão corrigida?

O registro não informa versão corrigida. Verifique a fonte oficial do plugin em busca de uma versão posterior à 3.2 e remova o plugin se não houver correção e ele não for necessário.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.