CVE-2026-62050: Tema WordPress Splendour

Visão geral

O tema Splendour para WordPress, da ThemeREX, é afetado por uma fraqueza de injeção de objeto PHP (CWE-502, desserialização de dados não confiáveis) em versões até 1.23 inclusive. Segundo o registro, a falha pode ser acionada sem autenticação.

Impacto

A pontuação base CVSS 3.1 atribuída pelo CNA é 9.8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica ataque pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
A desserialização de dados controlados por um atacante pode, em geral, levar a caminhos de execução não previstos na aplicação. As consequências concretas para este tema não estão detalhadas no registro disponível.

Produtos e versões afetadas

Produto: ThemeREX Splendour, um tema para WordPress.
Versões: 1.23 e anteriores, até 1.23 inclusive.
Nenhuma versão corrigida é indicada nas fontes consultadas.

Status de exploração

O catálogo KEV da CISA não lista este CVE no registro.
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O campo de exploração SSVC está como 'none', e a EPSS é 0.00386 (percentil 0.31527), com data de 2026-10-23.

Correção e mitigação

Identifique todas as instalações do tema Splendour e registre a versão instalada.
Como nenhuma versão corrigida é indicada, consulte a entrada da Patchstack e o fornecedor para orientações atuais, e atualize assim que uma versão corrigida for confirmada.
Até que a correção seja confirmada, reduza a exposição quando possível, por exemplo limitando o acesso público aos sites afetados e revisando-os com o seu provedor de segurança para WordPress.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns a componentes do tema e de dados serializados inesperados em parâmetros de entrada.
Monitore os sites afetados quanto a alterações inesperadas de arquivos e à criação de contas administrativas não previstas.

Limitações das informações disponíveis

O status da fonte é 'Deferred', e o registro não fornece versão corrigida, nomes de componentes afetados nem detalhes técnicos além da classe da fraqueza.
O campo de origem do CVSS contém um endereço de e-mail em vez do nome de um CNA, por isso a procedência da pontuação deve ser verificada na entrada da Patchstack.
Não é possível saber, pelo registro, se o tema ainda recebe manutenção.

Perguntas frequentes

Quais versões do Splendour são afetadas pelo CVE-2026-62050?

O registro indica o tema ThemeREX Splendour em versões até 1.23 inclusive. Nenhuma versão corrigida é indicada nas fontes consultadas.

Este CVE é confirmado como explorado ativamente?

O registro não o lista no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.