CVE-2026-5294: Plugin GeekyBot para WordPress até 1.2.2 - Falta de Autorização Permite Instalação de Plugins Sem Autenticação

Visão geral

A CVE-2026-5294 é uma falha de Falta de Autorização (CWE-862) no plugin GeekyBot para WordPress, que afeta as versões até a 1.2.2 inclusive. O registro descreve um manipulador de requisições acessível sem autenticação, que pode levar a um auxiliar do instalador de plugins. Segundo o registro, esse auxiliar baixa e extrai arquivos ZIP fornecidos pelo atacante no diretório wp-content/plugins.

Impacto

O registro indica que atacantes não autenticados poderiam realizar instalação arbitrária de plugins e alcançar execução remota de código. O vetor CVSS 3.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) indica vetor de rede, baixa complexidade, ausência de privilégios e de interação do usuário, e alto impacto na confidencialidade, integridade e disponibilidade. A pontuação base é 9,8.

Produtos e versões afetadas

Plugin GeekyBot para WordPress, nas versões 1.2.2 e anteriores (até a 1.2.2 inclusive).
O registro não informa nenhuma versão corrigida.
O changeset referenciado (WordPress plugin trac, changeset 3497169) pode estar relacionado a uma correção, mas o registro não confirma seu conteúdo nem a primeira versão corrigida.

Status de exploração

O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA. Não há exploração ativa confirmada ou exploração em campo nas fontes consultadas. A avaliação SSVC do registro mostra exploração como nenhuma e automatizável como sim. A probabilidade EPSS informada é 0,00818 (percentil 0,56033). Esses valores representam estimativa de probabilidade e não confirmam ataques observados.

Correção e mitigação

Identifique todos os sites WordPress com GeekyBot e confirme a versão instalada.
Consulte o aviso da Wordfence e o changeset referenciados para identificar a versão corrigida confirmada pelo fornecedor, e atualize para uma versão cuja correção esteja confirmada.
Se o plugin não for necessário, desative e remova-o.
Restrinja a escrita em wp-content/plugins sempre que operacionalmente possível e mantenha o núcleo do WordPress e os demais plugins atualizados.
Avalie a exposição do site à internet e aplique restrições na camada de rede a endpoints administrativos e AJAX, quando praticável.

Orientações de detecção

Revise wp-content/plugins em busca de diretórios de plugins desconhecidos ou criados recentemente, e de arquivos inesperados.
Revise os logs do WordPress e da hospedagem em busca de eventos inesperados de instalação ou ativação de plugins.
Revise os logs do servidor web em busca de volumes incomuns de requisições a admin-ajax.php originadas de fontes não autenticadas.
Compare a lista de plugins instalados com um inventário aprovado.

Limitações das informações disponíveis

O registro não informa a primeira versão corrigida, detalhes adicionais das funções afetadas além da descrição, nem prova confirmada de exploração. A data EPSS do registro é posterior à data de publicação, por isso o contexto da pontuação deve ser verificado na fonte EPSS antes de ser usado. O conteúdo do aviso do fornecedor e da Wordfence não foi analisado além do que o registro informa.

Perguntas frequentes

O que é a CVE-2026-5294?

É uma vulnerabilidade de Falta de Autorização (CWE-862) no plugin GeekyBot para WordPress, nas versões até a 1.2.2 inclusive, que, segundo o registro, pode permitir a instalação arbitrária de plugins sem autenticação.

A CVE-2026-5294 é conhecida como explorada ativamente?

O registro indica que a CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

O que os administradores devem fazer agora?

Confirmar a versão do GeekyBot instalada, consultar o aviso e o changeset referenciados para identificar a versão corrigida confirmada, atualizar ou remover o plugin e revisar diretórios de plugins e logs em busca de atividade inesperada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.