CVE-2026-7458: Plugin User Verification (PickPlugins) para WordPress: bypass de autenticação

Visão geral

A CVE-2026-7458 descreve um bypass de autenticação no plugin User Verification da PickPlugins para WordPress. O registro atribui a falha ao uso de uma comparação frouxa do PHP na validação de códigos OTP durante o login. O CNA é a Wordfence, e o registro foi publicado em 2026-05-02 com status Deferred. Detalhes estão disponíveis no aviso da Wordfence e na entrada do NVD.

Impacto

O registro classifica o problema como crítico, com pontuação base CVSS de 9.8, e as métricas indicam alto impacto em confidencialidade, integridade e disponibilidade.
Segundo a descrição, um atacante não autenticado poderia fazer login como qualquer usuário com e-mail verificado, incluindo administradores.
A tomada de contas administrativas permitiria, provavelmente, controle sobre conteúdo, plugins e usuários do site (inferência a partir da descrição).

Produtos e versões afetados

A descrição indica que todas as versões até a 2.0.46, inclusive, são afetadas.
A lista estruturada de afetados no registro está vazia, então o limite inferior do intervalo é desconhecido.
O registro não informa versão corrigida. Há uma referência a um changeset do plugin, mas o registro não diz qual release contém a correção.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto a exploração ativa não é confirmada por essa fonte.
A probabilidade EPSS é 0.00844, com percentil 0.56883, segundo o registro.
Nas fontes consultadas não há exploração confirmada.

Correção e mitigação

Identifique todos os sites com o plugin e registre a versão instalada, principalmente as iguais ou inferiores à 2.0.46.
Verifique a página do fornecedor e o repositório de plugins do WordPress em busca de uma versão corrigida, já que o registro não fornece uma.
Se não houver versão corrigida, considere desativar o plugin até que o fornecedor publique a correção e avalie se a funcionalidade de login é realmente necessária.
Revise contas de administrador e de outros perfis privilegiados, redefina credenciais quando houver dúvida e invalide sessões ativas após a investigação.
Garanta autenticação multifator para contas privilegiadas por meio de mecanismo independente deste plugin (inferência).

Orientação para detecção

Revise os logs de autenticação em busca de logins administrativos que não correspondam à atividade conhecida da equipe ou a horários esperados.
Procure contas de administrador recém-criadas, alterações de papel e sessões inesperadas.
Monitore requisições ao fluxo de login por OTP do plugin vindas de origens não autenticadas e correlacione-as com logins bem-sucedidos.
Compare a integridade dos arquivos do site com uma linha de base confiável caso haja suspeita de comprometimento.

Limitações das informações disponíveis

O registro não tem versão corrigida, nem limite inferior das versões afetadas, nem detalhes de correção fornecidos pelo fornecedor.
A lista de produtos afetados está vazia, então o escopo depende apenas do texto da descrição.
Há apenas a pontuação do CNA; nenhuma pontuação de outros provedores CVSS é listada.
O status do registro é Deferred, e as fontes consultadas não confirmam exploração nem disponibilidade pública de exploit.

Perguntas frequentes

Quais versões são afetadas pela CVE-2026-7458?

A descrição indica que todas as versões até a 2.0.46, inclusive, são afetadas. A lista estruturada de afetados no registro está vazia.

Existe uma versão corrigida disponível?

O registro não informa versão corrigida. Há uma referência a um changeset do plugin, mas o registro não diz qual release contém a correção, então verifique as páginas do fornecedor e do repositório do WordPress.

Esta vulnerabilidade está sendo explorada ativamente?

A CVE não está listada no catálogo KEV da CISA no registro, e nas fontes consultadas não há exploração confirmada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.