CVE-2026-62090: Tema WordPress WineShop (ThemeREX) - Injeção de Objeto PHP Não Autenticada

Visão geral

O registro descreve uma injeção de objeto PHP sem autenticação no tema WordPress WineShop, da ThemeREX. A fraqueza é associada ao CWE-502, desserialização de dados não confiáveis. A Patchstack é a CNA, e o status da fonte no registro é Deferred no momento da coleta.

Impacto

• O registro da Patchstack traz severidade crítica e pontuação CVSS 9.8.
• O vetor CVSS indica que não são exigidos privilégios nem interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade.
• Os dados SSVC do registro marcam o impacto técnico como total e a falha como automatizável.
• Injeção de objeto por desserialização insegura pode, em termos gerais, levar a caminhos de execução não previstos na aplicação. O registro não descreve as consequências específicas neste tema.

Produtos e versões afetados

• Produto: ThemeREX WineShop, tema para WordPress.
• Faixa afetada: até a versão 3.20, inclusive.
• Versão corrigida: não informada no registro. A existência de correção é desconhecida com os dados disponíveis.

Situação de exploração

O catálogo KEV da CISA não lista esta CVE, portanto o registro não confirma exploração ativa. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,00386, com percentil de 0,31526 em 23/10/2026, e o campo de exploração SSVC está como none. Esses valores refletem os dados no momento da coleta e podem mudar.

Correção e mitigação

• Identifique todos os sites que usam o tema WineShop e verifique se a versão instalada é 3.20 ou anterior.
• Acompanhe a entrada da Patchstack e os canais do fornecedor em busca de uma versão corrigida.
• Se o tema não estiver em uso, considere removê-lo, já que não há versão corrigida listada.
• Restrinja o acesso administrativo, mantenha o núcleo do WordPress e os demais plugins atualizados e mantenha backups verificados antes de qualquer alteração.
• Desenvolvedores devem evitar passar dados não confiáveis para rotinas nativas de desserialização.

Orientações de detecção

• Analise os logs do servidor web e da aplicação em busca de requisições incomuns ao tema, com atenção a conteúdos que pareçam dados serializados.
• Verifique alterações inesperadas em arquivos ou novas contas administrativas nos sites afetados.
• Use firewall de aplicação web ou monitoramento de segurança quando disponível, ajustando regras conforme as orientações do fornecedor ou da Patchstack.

Limitações das informações disponíveis

• O registro não informa versão corrigida, componente ou endpoint vulnerável específico, nem detalhes técnicos da falha.
• Não há aviso oficial da ThemeREX no registro.
• Há duas entradas CVSS idênticas de provedores diferentes, e um dos campos de provedor contém um endereço de contato em vez de nome de empresa.
• A situação de exploração se limita ao registro no KEV e aos campos SSVC e EPSS do registro.

Fontes: entrada da Patchstack, registro NVD.

Perguntas frequentes

Quais versões do WineShop são afetadas?

O registro indica faixa afetada até a versão 3.20, inclusive. Não há versão corrigida listada, então a existência de correção é desconhecida com os dados disponíveis.

Esta vulnerabilidade está sendo explorada ativamente?

A CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,00386 em 23/10/2026.

O que os responsáveis pelos sites devem fazer agora?

Verifique se o tema WineShop instalado é 3.20 ou anterior, acompanhe a entrada da Patchstack para uma correção, considere remover o tema se não for usado, limite o acesso administrativo e mantenha backups atualizados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.