CVE-2026-7637: PixelYourSite Boost

Visão geral

A CVE-2026-7637 afeta o plugin Boost para WordPress, listado no campo de produto afetado como PixelYourSite Boost. A fraqueza é classificada como CWE-502 (Desserialização de Dados não Confiáveis). Segundo o registro, o plugin desserializa dados obtidos do cookie STYXKEY-BOOST_USER_LOCATION sem validação suficiente, e isso pode ser alcançado sem autenticação.

Impacto

O registro descreve Injeção de Objeto PHP que pode ser disparada por usuários não autenticados.
A descrição da Wordfence informa que não há cadeia POP conhecida no software vulnerável, de modo que a falha isolada não produz impacto a menos que outro plugin ou tema com cadeia POP esteja instalado.
Se essa cadeia existir em outro componente do site, a descrição indica que ela pode permitir excluir arquivos arbitrários, recuperar dados sensíveis ou executar código, a depender da cadeia.
O vetor CVSS 3.1 reportado pela Wordfence classifica os impactos de confidencialidade, integridade e disponibilidade como altos.

Produtos e versões afetadas

Produto listado: PixelYourSite Boost.
Versões listadas como afetadas: até 2.0.3 inclusive.
O registro não lista versão corrigida. Isso não significa que não exista correção; significa apenas que o registro não traz essa informação.

Status de exploração

A entrada do catálogo CISA KEV no registro não está listada.
Não aparece exploração confirmada no campo de explorações em nenhuma das fontes consultadas.
Os dados SSVC do registro indicam exploração como none e automatizável como yes; trata-se de insumo de priorização, não de evidência de ataques observados.

Correção e mitigação

Identifique todos os sites que usam o plugin Boost e verifique se a versão instalada é 2.0.3 ou anterior.
Consulte a página do fornecedor e o registro da Wordfence para verificar uma versão atualizada e aplique-a assim que estiver disponível.
Enquanto não houver versão corrigida confirmada, considere desativar ou remover o plugin se ele não for essencial.
Revise os demais plugins e temas instalados, pois a gravidade desta falha depende da existência de uma cadeia POP utilizável em outro componente.
Mantenha o núcleo do WordPress, plugins e temas atualizados e restrinja quem pode instalar ou alterar código no site.

Orientação de detecção

Revise logs do servidor web e da aplicação em busca de requisições com valores incomuns no cookie STYXKEY-BOOST_USER_LOCATION.
Monitore erros PHP inesperados ou mensagens relacionadas a desserialização que surjam após requisições ao site.
Audite alterações no sistema de arquivos e novas contas administrativas, pois isso indicaria atividade pós-exploração caso exista uma cadeia POP.

Limitações das informações disponíveis

O registro não informa o caminho exato de código vulnerável, a versão em que o problema foi introduzido nem uma versão corrigida.
A existência de uma cadeia POP utilizável em um site específico é desconhecida a partir deste registro e depende dos demais softwares instalados.
Os valores EPSS do registro são reportados como fornecidos, e a data deles não comprova atividade de exploração.
As fontes consultadas limitaram-se às referências listadas no registro.

Perguntas frequentes

Quais versões do plugin Boost são afetadas pela CVE-2026-7637?

O registro lista as versões até 2.0.3 inclusive como afetadas. Não há versão corrigida listada.

Há registro de exploração ativa dessa falha?

A falha não consta no catálogo CISA KEV do registro e não aparece exploração confirmada nas fontes consultadas.

Esta falha, isoladamente, permite execução de código?

Segundo a descrição, não há cadeia POP conhecida no próprio plugin, então o impacto depende de outro plugin ou tema instalado que forneça uma cadeia POP utilizável.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.