CVE-2026-54823: Plugin Widget Options: execução remota de código por Contributor
A CVE-2026-54823 é uma falha crítica de execução remota de código nas versões do Widget Options até a 4.2.3 inclusive, classificada como CWE-94 (Injeção de Código). O CNA atribuiu nota 9.9 pelo CVSS 3.1, com vetor de escopo alterado que exige privilégios baixos e nenhuma interação do usuário. Os registros disponíveis não informam versões corrigidas e a vulnerabilidade não consta no catálogo KEV da CISA.
Visão geral
A CVE-2026-54823 afeta o Widget Options nas versões até a 4.2.3 inclusive. O registro descreve uma falha de execução remota de código acessível a partir do perfil Contributor e a classifica como CWE-94 (Injeção de Código). O CNA é o audit@patchstack.com, e a entrada da base da Patchstack é a única referência específica do produto no registro.
Impacto
- O CNA classifica a falha como Crítica, com pontuação base CVSS 3.1 de 9.9.
- O vetor indica ataque pela rede, baixa complexidade, privilégios baixos, nenhuma interação do usuário, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade.
- Uma exploração bem-sucedida poderia permitir a execução de código no contexto da aplicação web afetada, um resultado grave para qualquer site que use o plugin.
Produtos e versões afetadas
- A descrição indica o Widget Options nas versões menores ou iguais a 4.2.3.
- A lista estruturada de produtos afetados no registro está vazia, por isso os intervalos exatos de versão devem ser confirmados na entrada da Patchstack.
- O registro não informa versão corrigida. A ausência de versão corrigida não significa que não exista correção.
Status de exploração
Nenhuma exploração confirmada aparece nas fontes consultadas. O registro mostra que a CVE não está listada no KEV da CISA e não há pontuação EPSS disponível.
Correção e mitigação
- Identifique todos os sites onde o Widget Options está instalado, inclusive cópias inativas, e registre a versão instalada.
- Verifique na entrada da Patchstack e na fonte oficial do plugin se existe versão posterior à 4.2.3 e aplique-a assim que validada.
- Se não houver versão corrigida, considere desativar ou remover o plugin até que uma correção seja publicada.
- Revise quais contas possuem o perfil Contributor e remova as desnecessárias, já que a descrição e o requisito de privilégio apontam para esse perfil.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns a endpoints do plugin feitas por contas de baixo privilégio.
- Verifique arquivos PHP novos ou alterados, mudanças inesperadas em plugins e usuários administrativos desconhecidos.
- Monitore conexões de saída ou processos que o site normalmente não executa.
Limitações das informações disponíveis
- O registro não contém versão corrigida, nem intervalo de versões afetadas além da descrição, nem detalhes técnicos da falha.
- O nome do produto vem da URL de referência e da descrição; o fornecedor e o ecossistema do plugin não são confirmados explicitamente no texto do registro.
- A pontuação CVSS vem do CNA; nenhuma pontuação do NVD aparece no registro.
Perguntas frequentes
A CVE-2026-54823 está sendo explorada ativamente?
Nenhuma exploração confirmada aparece nas fontes consultadas, e a CVE não consta no KEV da CISA.
Quais versões do Widget Options são afetadas?
A descrição indica versões menores ou iguais a 4.2.3. A lista estruturada de produtos afetados está vazia, então confirme os intervalos na entrada da Patchstack.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.