CVE-2026-62077: Tema WordPress Avala (BoldThemes) - Injeção de Objeto PHP
Uma vulnerabilidade de injeção de objeto PHP sem autenticação (CWE-502) afeta o tema WordPress Avala, da BoldThemes, até a versão 1.1.4 inclusive. O registro atribui pontuação CVSS 3.1 de 9.8, e nenhuma versão corrigida consta nas fontes. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.
Visão geral
Foi relatada uma vulnerabilidade de injeção de objeto PHP (CWE-502, desserialização de dados não confiáveis) no tema WordPress Avala, da BoldThemes, nas versões até 1.1.4 inclusive. Segundo o registro, ela pode ser acionada sem autenticação. Fonte: entrada da Patchstack.
Impacto
O registro informa pontuação base CVSS 3.1 de 9.8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Isso descreve exploração pela rede, de baixa complexidade, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. As consequências concretas dependem do código presente no site instalado, que o registro não descreve.
Produtos e versões afetadas
- Produto: BoldThemes Avala (tema WordPress)
- Faixa afetada: até 1.1.4 inclusive
- Versão corrigida: nenhuma informada no registro
Status de exploração
A CVE não consta no catálogo KEV da CISA. O campo de exploração SSVC está como "none", e a probabilidade EPSS é 0.00386 (percentil 0.31529, data 2026-10-23). Não há exploração confirmada nas fontes consultadas.
Correção e mitigação
- Verifique com o fornecedor se há versão posterior a 1.1.4, pois o registro não identifica uma correção.
- Se o tema não for necessário, desative e remova-o.
- Limite a exposição dos sites afetados até que uma correção seja validada. Regras de firewall de aplicação web podem reduzir o risco, mas não substituem a atualização.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns a endpoints do tema e de dados serializados inesperados em parâmetros, cookies ou cabeçalhos.
- Monitore alterações inesperadas em arquivos e a criação de contas administrativas nos sites afetados.
Limitações das informações disponíveis
O registro não traz versão corrigida, texto de aviso do fornecedor, descrição detalhada da entrada vulnerável nem detalhes técnicos públicos. O campo de origem do CVSS contém um e-mail, e não uma organização de pontuação. O status de origem do registro é Deferred.
Perguntas frequentes
Isso afeta o meu site?
Sim, se você usa o tema BoldThemes Avala na versão 1.1.4 ou anterior. Confirme a versão instalada antes de decidir as ações.
Há correção disponível?
O registro não informa versão corrigida. Verifique com o fornecedor se há versão mais recente e trate os sites afetados como em risco até validar uma correção.
Há exploração ativa?
A CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.