CVE-2026-6510: InfusedWoo Pro para WordPress: Falta de Autorização com Escalonamento de Privilégios
Uma falha de falta de autorização no plugin InfusedWoo Pro para WordPress permite, segundo o registro, que usuários não autenticados obtenham privilégios elevados, inclusive em contas de administrador. A Wordfence classifica a falha como crítica, com pontuação CVSS 3.1 de 9.8. O registro não identifica uma versão corrigida, por isso os administradores devem confirmar o status junto ao fornecedor e reduzir a exposição agora.
Visão geral
O plugin InfusedWoo Pro para WordPress apresenta uma fraqueza de falta de autorização (CWE-862) que pode levar a escalonamento de privilégios. Conforme a descrição do registro, as versões até e incluindo a 5.1.2 não possuem verificação de nonce nem verificações de capacidade em um manipulador AJAX, enfraquecendo o controle de acesso para usuários não autenticados. A análise da Wordfence está disponível em inteligência de ameaças da Wordfence.
Impacto
- A Wordfence atribuiu pontuação 9.8 (crítica) no CVSS 3.1, com vetor de rede, baixa complexidade, sem privilégios exigidos e sem interação do usuário.
- O registro descreve bypass de autenticação e escalonamento de privilégios para contas alvo, incluindo contas de administrador.
- O vetor CVSS indica alto impacto em confidencialidade, integridade e disponibilidade.
Produtos e versões afetados
- Produto: plugin InfusedWoo Pro para WordPress.
- Intervalo afetado indicado na descrição: todas as versões até e incluindo a 5.1.2.
- Os campos estruturados de versões afetadas e correções do registro estão vazios, por isso a versão exata corrigida é desconhecida nas fontes consultadas.
Status de exploração
O registro mostra que este CVE não está listado no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas, por isso não há afirmação de exploração ativa nesta análise.
Remediação e mitigação
- Verifique se o InfusedWoo Pro está instalado e qual versão está ativa.
- Atualize para a versão mais recente disponibilizada pelo fornecedor. O registro não identifica uma versão corrigida, então confirme no site do fornecedor.
- Se não houver versão corrigida ou o plugin não for necessário, desative e remova-o.
- Revise contas de usuário em busca de administradores ou contas privilegiadas inesperadas e revise as sessões ativas.
- Revise receitas de automação existentes criadas pelo plugin em busca de entradas que você não criou.
Orientação de detecção
- Analise logs do servidor web e da aplicação em busca de requisições incomuns a endpoints AJAX do plugin, especialmente de sessões não autenticadas.
- Procure regras de automação novas ou alterações de configuração que não foram autorizadas.
- Monitore novas contas administrativas ou modificadas e eventos de login inesperados.
Limitações das informações disponíveis
- O registro não lista versões afetadas ou corrigidas em campos estruturados.
- Os detalhes do fornecedor limitam-se às referências fornecidas, e esta análise não inclui testes independentes.
- O registro completo está disponível na entrada do NVD.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada ativamente?
O registro mostra que ela não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões são afetadas?
A descrição indica que todas as versões até e incluindo a 5.1.2 são afetadas. O registro não informa uma versão corrigida.
O que os responsáveis pelos sites devem fazer agora?
Verifique se o plugin está instalado, atualize para uma versão corrigida pelo fornecedor, se houver, ou desative e remova o plugin caso não seja necessário. Revise também contas e regras de automação em busca de alterações inesperadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.