CVE-2026-6512: InfusedWoo Pro - Falta de Autorização (CWE-862) Permite Exclusão de Posts sem Autenticação
A CVE-2026-6512 é uma falha de falta de autorização (CWE-862) no plugin InfusedWoo Pro para WordPress, que afeta todas as versões até a 5.1.2 inclusive. Segundo o registro, usuários não autenticados poderiam excluir conteúdos permanentemente, apagar em massa comentários e alterar o status de posts. A Wordfence informa pontuação CVSS 3.1 de 9.1 (Crítica), e não há exploração confirmada nas fontes consultadas.
Visão geral
O registro descreve uma fraqueza de falta de autorização (CWE-862) no plugin InfusedWoo Pro para WordPress. Segundo a descrição, o plugin não verifica adequadamente se o usuário está autorizado a executar determinadas ações, afetando todas as versões até a 5.1.2 inclusive.
Impacto
- Segundo a descrição, atacantes não autenticados poderiam excluir permanentemente posts, páginas, produtos ou pedidos arbitrários.
- A descrição também indica que atacantes poderiam apagar em massa todos os comentários de qualquer post e alterar o status de qualquer post.
- A Wordfence informa pontuação base CVSS 3.1 de 9.1 (Crítica). O vetor do registro indica alto impacto na confidencialidade e na integridade, sem impacto na disponibilidade.
Produtos e versões afetados
- Infused Addons InfusedWoo Pro, versões até a 5.1.2 inclusive.
- O registro não informa nenhuma versão corrigida.
Status de exploração
- O registro indica que a CVE não consta no catálogo Known Exploited Vulnerabilities da CISA.
- Não há exploração confirmada nas fontes consultadas.
- Os campos SSVC do registro classificam a exploração como 'none' e a automatização como 'yes'.
Correção e mitigação
- Consulte o changelog do fornecedor citado no registro e confirme se há uma versão posterior à 5.1.2 que trate este problema, já que o registro não traz versão corrigida.
- Até que a correção seja verificada, limite quem pode acessar as funcionalidades do plugin, restrinja o acesso aos endpoints administrativos afetados sempre que possível e mantenha backups atualizados de posts, páginas, produtos, pedidos e comentários.
- Mantenha o WordPress, o WooCommerce e todos os plugins atualizados, e remova o plugin caso ele não seja necessário.
Orientações de detecção
- Revise os logs do servidor web e do WordPress em busca de requisições inesperadas às funcionalidades do InfusedWoo Pro, especialmente de sessões sem usuário autenticado.
- Monitore exclusões inexplicadas de posts, páginas, produtos ou pedidos, remoções em massa de comentários e alterações de status não esperadas.
- Compare contagens de conteúdo e backups ao longo do tempo para identificar alterações silenciosas.
Limitações das informações disponíveis
- O registro não identifica os parâmetros ou endpoints específicos envolvidos, e esta análise não os descreve.
- Nenhuma versão corrigida é informada, portanto o status de correção de cada instalação deve ser verificado no changelog do fornecedor.
- A entrada EPSS indica probabilidade de 0,00461 e percentil de 0,38186, mas sua data (2026-10-13) é posterior à data de publicação, por isso deve ser interpretada com cautela.
Perguntas frequentes
Quais versões do InfusedWoo Pro são afetadas pela CVE-2026-6512?
O registro indica que todas as versões até a 5.1.2 inclusive são afetadas. Não há versão corrigida informada, por isso verifique o changelog do fornecedor para confirmar a situação da sua instalação.
A CVE-2026-6512 é conhecida como explorada ativamente?
O registro indica que a CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Qual é o principal risco desta vulnerabilidade?
Segundo a descrição, usuários não autenticados poderiam excluir permanentemente posts, páginas, produtos ou pedidos, apagar comentários em massa e alterar o status de posts. Manter backups verificados é uma salvaguarda importante.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.