CVE-2026-42723: Injeção de Objeto PHP no Tema WordPress CleanSkin

Visão geral

A CVE-2026-42723 afeta o tema WordPress CleanSkin, da AncoraThemes. O registro a classifica como Injeção de Objeto PHP sob a CWE-502, Desserialização de Dados Não Confiáveis. A falha é associada a versões até 1.5.0 inclusive. O CNA é a Patchstack, que publicou a entrada em sua base de vulnerabilidades.

Impacto

O vetor CVSS 3.1 do registro é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica acessibilidade pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade.
Os dados SSVC do registro classificam o impacto técnico como total e marcam o problema como automatizável.
Falhas de desserialização dessa classe, em geral, permitem que entradas não confiáveis influenciem objetos da aplicação, o que pode levar à exposição ou alteração de dados e a caminhos de código não previstos pelo responsável pelo site. As consequências exatas neste tema não são descritas no registro.

Produtos e versões afetados

Produto: AncoraThemes CleanSkin (tema WordPress).
Versões afetadas: até 1.5.0 inclusive.
O registro não informa versão corrigida. Isso não significa que não exista correção; a ausência do dado é desconhecida, por isso verifique o fornecedor e a entrada da Patchstack para o status atual.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,00386 (percentil 0,30828) em 2026-10-13, e o campo de exploração SSVC está registrado como none. Esses valores representam probabilidade estimada e situação atual, não ataques confirmados.

Correção e mitigação

Identifique todos os sites WordPress que usam o CleanSkin e confirme a versão instalada.
Consulte a entrada da Patchstack e o fornecedor em busca de uma versão atualizada. Se for publicada uma versão posterior à 1.5.0, planeje a atualização após testes.
Se não houver versão corrigida e o tema não for essencial, considere substituí-lo ou desativá-lo.
Enquanto a correção estiver pendente, limite a exposição de áreas administrativas e de endpoints desnecessários, e mantenha o núcleo do WordPress e os demais plugins atualizados.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições incomuns direcionadas ao tema, especialmente entradas repetidas ou malformadas que cheguem ao código do tema.
Monitore alterações inesperadas em arquivos do site, conteúdo do banco de dados ou contas administrativas.
Acompanhe alertas do seu firewall de aplicação web ou das ferramentas de monitoramento, lembrando que a cobertura de assinaturas para esta falha específica é desconhecida.

Limitações das informações disponíveis

O registro não informa a função vulnerável, o caminho exato da entrada, a versão corrigida, o texto do aviso do fornecedor nem detalhes de prova de conceito. Os dados CVSS vêm da Patchstack, e o registro também mostra uma segunda entrada com a mesma pontuação. A situação de exploração se baseia apenas nos dados KEV e EPSS presentes no registro e pode mudar.

Perguntas frequentes

O que é a CVE-2026-42723?

É uma falha crítica de Injeção de Objeto PHP (CWE-502) no tema WordPress CleanSkin, da AncoraThemes, que afeta versões até 1.5.0 inclusive, segundo o registro.

Esta vulnerabilidade está sendo explorada ativamente?

A CVE não aparece no catálogo KEV da CISA no registro, e nenhuma exploração confirmada aparece nas fontes consultadas. Os dados EPSS são registrados em 2026-10-13.

Qual versão corrige o problema?

O registro não informa versão corrigida. Consulte a entrada da Patchstack e o fornecedor para informações atuais antes de decidir pela atualização ou substituição.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.