CVE-2026-62120: Tema WordPress Law Office (ThemeREX) - injeção de objeto PHP não autenticada
Uma falha de injeção de objeto PHP não autenticada (CWE-502) afeta o tema WordPress Law Office, da ThemeREX, até a versão 3.20 inclusive. A Patchstack informa pontuação CVSS base de 9,8 (crítica), e o registro não lista versão corrigida. Não há exploração confirmada nas fontes consultadas.
Visão geral
O registro descreve uma vulnerabilidade de injeção de objeto PHP não autenticada no tema WordPress Law Office, publicado pela ThemeREX. A faixa afetada vai até a versão 3.20, inclusive. A fraqueza está classificada como CWE-502, Desserialização de Dados Não Confiáveis, e a Patchstack é o CNA que publicou a entrada.
Impacto
- A Patchstack atribui pontuação CVSS base de 9,8, com severidade crítica, o que indica acesso pela rede, ausência de privilégios exigidos e nenhuma interação do usuário.
- O vetor do registro descreve alto impacto na confidencialidade, integridade e disponibilidade.
- O impacto técnico SSVC está registrado como total e a característica de automatização como sim.
- Com base no conhecimento geral sobre injeção de objeto PHP, as consequências práticas dependem das classes e do código disponíveis no ambiente instalado. Isto é uma inferência, não um resultado confirmado para este tema.
Produtos e versões afetadas
- Produto: ThemeREX Law Office, um tema para WordPress.
- Faixa afetada: até a versão 3.20, inclusive.
- Versão corrigida: nenhuma é listada no registro. Isso não comprova que não exista correção.
Status de exploração
O catálogo KEV da CISA não lista este CVE. Não há exploração confirmada nas fontes consultadas. O campo de exploração SSVC está registrado como nenhuma. A probabilidade EPSS é 0,00313, com percentil de 0,23042, em 23/10/2026.
Correção e mitigação
- Verifique a entrada da Patchstack e o fornecedor do tema em busca de uma versão atualizada posterior à 3.20. O registro não traz uma.
- Se o tema estiver em uso, planeje a atualização para uma versão verificada assim que o fornecedor a publicar, e teste antes da implantação.
- Se o tema não for necessário, desative e remova-o para reduzir a exposição.
- Como medidas temporárias, considere restringir o acesso ao site quando possível e revisar regras de firewall de aplicação web fornecidas pela sua hospedagem ou equipe de segurança.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns a componentes do tema e de dados serializados inesperados em parâmetros de requisição.
- Procure contas administrativas novas e inesperadas, arquivos de tema ou plugin modificados e tarefas agendadas desconhecidas.
- Mantenha cópias de segurança e linhas de base de integridade para comparar alterações.
Limitações das informações disponíveis
- O registro não identifica o parâmetro vulnerável, o caminho de código nem qualquer versão corrigida.
- As fontes consultadas não confirmam exploração em ambiente real.
- O registro mostra status de origem Deferred, então os detalhes podem mudar conforme a entrada for atualizada.
- Se um site específico é afetado depende da versão instalada e da configuração, que o registro não descreve.
Perguntas frequentes
Quais versões do tema Law Office são afetadas?
O registro lista o tema Law Office, da ThemeREX, até a versão 3.20, inclusive. Versões acima dessa faixa não são descritas no registro.
Existe versão corrigida?
O registro não lista versão corrigida. Verifique a entrada da Patchstack e o fornecedor em busca de atualização posterior à 3.20.
Há registro de exploração ativa?
O CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.