CVE-2026-62123: Tema WordPress Invetex - Injeção de Objeto PHP
A CVE-2026-62123 é uma falha crítica de Injeção de Objeto PHP (CWE-502) no tema Invetex para WordPress, nas versões até e incluindo 2.18. A Patchstack atribuiu nota 9.8 pelo CVSS 3.1, e o vetor indica que não são exigidos privilégios. O registro não informa versão corrigida e a falha não consta no catálogo KEV da CISA.
Visão geral
O registro descreve uma vulnerabilidade de Injeção de Objeto PHP não autenticada no tema Invetex para WordPress, nas versões até e incluindo 2.18. Ela é classificada como CWE-502, Desserialização de Dados Não Confiáveis. A Patchstack é a CNA, e o registro foi publicado em 10/10/2026 com status de origem Deferred.
Impacto
O vetor CVSS 3.1 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) descreve um problema acessível pela rede, de baixa complexidade, sem necessidade de privilégios nem interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade. Falhas de desserialização desse tipo podem, em geral, permitir que um atacante influencie a lógica da aplicação. O registro não detalha as consequências exatas neste tema.
Produtos e versões afetadas
- Produto: ThemeREX Invetex
- Versões afetadas: até e incluindo 2.18, conforme informado no registro
- Versão corrigida: não informada no registro. Isso significa que a informação está ausente, não que não exista correção.
Status de exploração
O registro indica que a CVE não está no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0,00313, com percentil de 0,23041 (data de 23/10/2026), e o campo de exploração do SSVC está como none, enquanto automatizável está como yes. Esses sinais indicam risco, mas não são evidência de ataques ativos.
Correção e mitigação
- Identifique todos os sites WordPress que usam o tema Invetex e registre a versão instalada.
- Como o registro não informa versão corrigida, consulte a entrada da Patchstack e o fornecedor para saber o status atual de atualização.
- Se nenhuma correção for confirmada, considere substituir ou desativar o tema pelo processo de mudanças da sua organização.
- Restrinja o acesso às áreas administrativas e sensíveis dos sites afetados enquanto a correção estiver pendente.
Orientação para detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns direcionadas aos componentes do tema.
- Use alertas de firewall de aplicação web ou de monitoramento para corpos de requisição anômalos que se assemelhem a dados serializados, em nível geral.
- Acompanhe alterações nos arquivos do tema nos sites afetados.
Limitações das informações disponíveis
O registro não identifica o componente ou endpoint vulnerável, não informa versão corrigida e não traz detalhes de aviso do fornecedor além da referência da Patchstack. O status de origem no NVD é Deferred, portanto o enriquecimento pode mudar. As pontuações devem ser reverificadas em fontes atualizadas.
Perguntas frequentes
A CVE-2026-62123 está sendo explorada ativamente?
O registro mostra que a CVE não está no KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Existe versão corrigida disponível?
O registro não informa versão corrigida. Consulte a entrada da Patchstack e o fornecedor para o status atual, pois a ausência do dado não significa que não haja correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.