CVE-2026-62054: Tema WordPress Yacht Rental até 2.6 - Injeção de Objeto PHP

Visão geral

O registro descreve uma injeção de objeto PHP não autenticada no tema WordPress Yacht Rental, da ThemeREX, que afeta as versões até a 2.6 inclusive. A fraqueza é classificada como CWE-502, Desserialização de Dados Não Confiáveis. A entrada foi publicada pela Patchstack como CNA.

Impacto

O registro informa pontuação CVSS 3.1 base de 9,8 (crítica), com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Os campos SSVC do registro indicam que o problema é automatizável e de impacto técnico total.
Falhas dessa classe de injeção de objetos podem permitir que um agente influencie a lógica da aplicação no site afetado. As consequências exatas dependem dos caminhos de código e do ambiente instalado, que o registro não descreve.

Produtos e versões afetados

Produto: ThemeREX Yacht Rental (tema WordPress).
Versões: até a 2.6 inclusive.
Versões corrigidas: o registro não lista nenhuma. Isso significa que o status da correção é desconhecido, e não que a correção inexista.

Status de exploração

O registro mostra que a vulnerabilidade não consta no catálogo KEV da CISA.
Nas fontes consultadas não aparece exploração confirmada no ambiente real.
A probabilidade EPSS é 0,00386, com percentil de 0,31528, datada de 23/10/2026. O campo de exploração SSVC está definido como none.

Correção e mitigação

Identifique todos os sites que usam o tema Yacht Rental na versão 2.6 ou anterior.
Consulte a entrada da Patchstack e os canais do fornecedor em busca de uma versão corrigida, e aplique-a assim que estiver disponível.
Se não houver correção confirmada, considere desativar temporariamente o tema ou migrar o site para uma alternativa mantida.
Limite a exposição pública de funções administrativas e de componentes do tema enquanto o risco é avaliado.
Mantenha o núcleo do WordPress, plugins e outros temas atualizados para reduzir a superfície de ataque.

Orientação para detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns a componentes do tema, especialmente as que tratam entradas serializadas ou codificadas.
Monitore alterações inesperadas em arquivos, opções ou conteúdo do banco de dados da instalação WordPress.
Mantenha um inventário das versões do tema em todos os sites para confirmar a exposição rapidamente.

Limitações das informações disponíveis

O registro não identifica o componente vulnerável, o parâmetro ou o caminho de código específico.
Nenhuma versão corrigida é listada, portanto o alvo de correção é desconhecido.
Não é informado se o problema é explorável com as configurações padrão.
O campo de fonte do CVSS contém um endereço de contato e não o nome de uma organização, o que limita a clareza da atribuição.

Fontes consultadas: entrada de vulnerabilidade da Patchstack, NVD, Registro CVE.

Perguntas frequentes

Quais versões do tema Yacht Rental são afetadas?

O registro lista o tema ThemeREX Yacht Rental nas versões até a 2.6 inclusive.

Esta vulnerabilidade exige autenticação?

Não. O registro a descreve como não autenticada e informa, no vetor CVSS, que nenhum privilégio é necessário.

Existe uma versão corrigida disponível?

O registro não lista nenhuma versão corrigida. O status da correção é desconhecido, então consulte a entrada da Patchstack e os canais do fornecedor.

Esta vulnerabilidade está sendo explorada ativamente?

O registro mostra que ela não consta no catálogo KEV da CISA, e nas fontes consultadas não aparece exploração confirmada no ambiente real.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.