CVE-2026-5722: MoreConvert Pro para WordPress: bypass de autenticação via token de verificação de convidado
A CVE-2026-5722 afeta o plugin MoreConvert Pro para WordPress em todas as versões até a 1.9.14 inclusive. O fluxo de verificação da lista de espera de convidados não invalida nem regenera tokens quando o e-mail do cliente é alterado, o que, segundo o CNA, pode permitir autenticação não autenticada como usuários existentes, incluindo administradores. Nenhuma exploração confirmada aparece nas fontes consultadas, e o registro disponível não informa versão corrigida.
Visão geral
O plugin MoreConvert Pro para WordPress é afetado por um bypass de autenticação identificado como CVE-2026-5722 e classificado como CWE-287 (Autenticação Inadequada). Segundo a descrição do CNA, o fluxo de verificação da lista de espera de convidados não invalida nem regenera os tokens de verificação quando o endereço de e-mail do cliente é alterado. O registro foi publicado em 05/05/2026 pela Wordfence e seu status consta como Deferred.
Impacto
A descrição do CNA indica que um atacante não autenticado poderia se autenticar como usuários existentes, incluindo administradores. A Wordfence atribuiu pontuação base CVSS 3.1 de 9.8, com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que corresponde a acessibilidade pela rede, sem necessidade de privilégios ou interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade. Como contas de administrador podem ficar acessíveis, a consequência prática para um site pode incluir controle total sobre conteúdo, usuários e configurações do plugin.
Produtos e versões afetadas
- Produto: plugin MoreConvert Pro para WordPress
- Versões afetadas: todas as versões até a 1.9.14 inclusive, segundo a descrição do CNA
- Versão corrigida: não informada no registro disponível. Consulte o changelog do MoreConvert e a página do plugin no WordPress.org para informações de lançamento.
Status de exploração
O registro não indica inclusão no catálogo Known Exploited Vulnerabilities da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. Os valores de EPSS presentes no registro (probabilidade 0.00826, percentil 0.56311) são estimativas de probabilidade de exploração, não observações de ataques.
Correção e mitigação
- Verifique se o plugin MoreConvert Pro está instalado e qual versão está ativa.
- Confira no changelog se existe uma versão posterior à 1.9.14 que trate o problema e atualize assim que a correção for confirmada.
- Se não houver versão corrigida disponível, considere desativar temporariamente a lista de espera de convidados ou restringir seu acesso, seguindo orientações do fabricante.
- Revise contas de administrador e de alto privilégio em busca de logins, trocas de senha ou alterações de e-mail inesperados, e renove credenciais se algo parecer fora do normal.
- Trate links de verificação pendentes como informação sensível e invalide-os quando a plataforma permitir.
Orientações de detecção
- Analise os logs do servidor web e da aplicação em busca de requisições aos endpoints da lista de espera ou de verificação, especialmente repetidas a partir da mesma origem.
- Procure registros de clientes cujo e-mail foi alterado pouco antes do uso de um link de verificação.
- Audite logins recentes em contas de administrador, prestando atenção a endereços IP desconhecidos, novos dispositivos ou acessos logo após alterações de e-mail.
Limitações das informações disponíveis
O registro não lista versões afetadas ou corrigidas em campos estruturados, portanto o limite 1.9.14 vem apenas da descrição do CNA. Não havia texto de aviso do fabricante além do changelog e da referência da Wordfence, e o título do registro estava vazio. A data de EPSS do registro é posterior à data de publicação, o que exige cautela na interpretação. A exposição de um site específico depende de o plugin e de sua lista de espera estarem em uso.
Perguntas frequentes
Quais versões do MoreConvert Pro são afetadas pela CVE-2026-5722?
Segundo a descrição do CNA, todas as versões até a 1.9.14 inclusive são afetadas. A lista estruturada de versões afetadas do registro está vazia, então confirme no changelog do fabricante.
Essa vulnerabilidade está sendo explorada ativamente?
O registro não inclui a CVE-2026-5722 no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores de sites devem fazer agora?
Verifique se o plugin está instalado, procure no changelog uma versão posterior à 1.9.14 e considere desativar a lista de espera de convidados se não houver correção disponível. Revise contas de administrador em busca de atividade inesperada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.