Gamepad — Mercado de jogos, tecnologia, segurança da informação e política

Todas Segurança cibernética Tecnologia financeira Mercado de jogos Política Tecnologia

Uma vulnerabilidade crítica, CVE-2026-82901, foi descoberta no plugin Ultra Addons for Contact Form 7 para WordPress, afetando versões até 3.5.50. Com pontuação CVSS 9.8, essa falha permite que atacantes não autenticados façam upload de arquivos arbitrários no servidor de um site vulnerável, podendo levar à execução remota de código.

A vulnerabilidade está na função 'uacf7_wpcf7_mail_components' devido à validação insuficiente do tipo de arquivo. Só é explorável quando o módulo PDF Generator do plugin está habilitado, que é desabilitado por padrão. No entanto, administradores de sites são instados a atualizar o plugin imediatamente para evitar exploração.

A inteligência de ameaças da Wordfence sinalizou isso como uma questão crítica. Garanta a segurança do seu site WordPress atualizando para a versão mais recente do Ultra Addons for Contact Form 7 e desabilitando o módulo PDF Generator se não for necessário.

Sites WordPress em risco: falha crítica de upload arbitrário de arquivos em plugin popular

#cybersecurity #vulnerability #wordpress #plugin #security-update #remote-code-execution

Ver detalhe →

Bastou uma única chave de API da Cloudflare com permissões totais, embutida direto no código-fonte. A Brevo confirmou que atacantes roubaram essa credencial e a usaram para criar um Cloudflare Worker malicioso que reescrevia o conteúdo na borda da CDN, injetando scripts ClickFix no brevo.com, no sendinblue.com, nas páginas de login e onboarding e nos scripts de formulários, conversas e SDK que os clientes embutem em seus próprios sites. A janela de exposição durou cerca de cinco horas e meia em 14 de setembro, e a empresa de segurança Sansec estima que até 100 mil sites que dependem desses componentes foram atingidos.

Como o payload era servido pela borda e removia cabeçalhos de segurança como o Content-Security-Policy, servidores de origem e arquivos pareciam totalmente limpos, e as verificações padrão de integridade nunca dispararam. Visitantes viam uma falsa página de verificação da Cloudflare seguida de instruções ClickFix mandando executar um comando no Windows. Em sites WordPress, o script injetado checava se o visitante era um administrador logado e tentava instalar um plugin falso chamado Web Media Optimizer, que se esconde da lista de plugins, se enterra no diretório must-use, busca JavaScript novo em servidores remotos e traz uma chave embutida capaz de gerar uma sessão de administrador válida sem precisar da senha.

A Brevo afirma que removeu o Worker, revogou a chave, apagou a credencial embutida do código, deletou domínios controlados pelos atacantes e limpou os caches da borda, além de garantir que o app, a API, a entrega de e-mails e os dados de contas não foram afetados. Administradores de WordPress que navegaram em um site afetado logados no dia 14 de setembro devem auditar plugins instalados naquele dia e trocar as senhas de administrador. A lição é dura e direta: uma credencial esquecida no código e uma CDN confiável bastam para incendiar toda uma cadeia de suprimentos. É por isso que telemetria na borda, gestão de segredos e uma camada séria de VPN e DNS criptografado nas máquinas que acessam sistemas de produção deixaram de ser opcionais.

Ataque na cadeia de suprimentos da Brevo envenenou sites de clientes com malware ClickFix por mais de cinco horas

#cybersecurity #infosec #cloudflare #wordpress #data-breach #supply-chain-attack #malware #clickfix

Ver detalhe →

Uma vulnerabilidade de gravidade máxima no WordPress está circulando, e ela é um pesadelo para quem usa o plugin The Events Calendar. Registrada como CVE-2026-78006 com pontuação CVSS 9.8, a falha encadeia uma injeção de objeto PHP com um hash de integridade forjado para driblar as verificações de segurança do plugin e alcançar a execução remota de código. O detalhe mais assustador: não exige nenhuma autenticação.

O ataque explora a área de comentários. Como o WordPress entrega a comentaristas não autenticados um link com hash de moderação para visualizarem imediatamente seu próprio comentário pendente, um payload de bloco malicioso chega ao trecho vulnerável do código antes de qualquer moderação humana. Em outras palavras, uma caixa de comentários aberta em uma página de evento pode virar uma porta de entrada direta para o seu servidor.

A correção é simples e urgente: atualize o The Events Calendar para a versão mais recente com patch e, de quebra, restrinja ou desative comentários em publicações de eventos. Se você administra sites WordPress, aplique o patch agora, confira as versões e trate qualquer plugin exposto como uma janela aberta numa tempestade. Proteger sua privacidade na rede importa tanto quanto, e uma conexão criptografada é um ótimo ponto de partida.

Falha crítica no WordPress deixa atacantes não autenticados executarem código no seu servidor pelo plugin The Events Calendar

#cybersecurity #infosec #vulnerability #wordpress #cve #remote-code-execution #plugin-security

Ver detalhe →

O conselho da Automattic colocou o CEO Matt Mullenweg em licença remunerada e entregou o comando ao CFO Mark Davies como CEO interino. A decisão foi repentina, e Mullenweg deixou claro que se opôs a ela, alertando ainda sobre ataques e boatos que viriam a seguir.

Mas o detalhe que deveria preocupar qualquer empresa que roda WordPress é outro: Mullenweg ainda controla pessoalmente o WordPress.org, o diretório de plugins e temas que distribui atualizações de segurança para mais de 40 por cento da web. Analistas alertam que a mesma autoridade sem prestação de contas que cortou clientes da WP Engine da noite para o dia em 2024 continua intacta, ignorada por qualquer votação do conselho.

Para os CISOs, a lição é direta. Trocar o administrador não é o mesmo que eliminar um ponto único de falha. Enquanto o WordPress.org não tiver governança independente de verdade, o pipeline de atualizações de milhões de sites continua passando por uma só pessoa, e esse risco estrutural nenhuma mudança de organograma resolve.

O ponto único de falha do WordPress: CEO da Automattic sai, mas Matt Mullenweg ainda controla as atualizações

#governance #open-source #cybersecurity #infosec #wordpress #supply-chain #automattic

Ver detalhe →

Pesquisadores de segurança divulgaram uma vulnerabilidade crítica de execução remota de código no plugin Hummingbird para WordPress, registrada como CVE-2026-83627. A falha tem pontuação 9.8 no CVSS e afeta versões do plugin até a 3.21.0, permitindo que atacantes não autenticados injetem e executem código PHP arbitrário em sites vulneráveis.

O problema está na forma como o log de depuração do cache de páginas grava nomes de cookies sem sanitização em um arquivo PHP de acesso público. Como um cabeçalho de proteção é omitido em determinadas condições, uma única requisição anônima pode dar controle total do servidor ao atacante. Administradores devem atualizar o Hummingbird para a versão 3.21.2 ou superior imediatamente e desativar o log de depuração do cache de páginas.

Falha crítica de RCE sem autenticação encontrada no plugin Hummingbird do WordPress — atualize para 3.21.2 agora

#cybersecurity #rce #vulnerability #wordpress #cve #plugin

Ver detalhe →

Administradores de sites WordPress que usam o plugin AI Website Builder (build do GitHub 1.0.0) precisam agir rápido. O CVE-2026-82923 é uma falha crítica com CVSS 9.8 que permite a invasores não autenticados abusar das rotas REST expostas para instalar e ativar plugins e temas, importar conteúdo de URLs externas, enviar arquivos maliciosos para o diretório de uploads e até apagar conteúdo e mídia do site.

Se o servidor executar PHP a partir do diretório de uploads, essa gravação de arquivo pode virar execução remota de código. No pior cenário, isso significa a tomada total do site. Corrija agora atualizando o plugin, adicionando verificações de autorização e nonce em todas as rotas REST e restringindo operações de gravação de arquivos.

RCE crítica sem autenticação no plugin AI Website Builder para WordPress: atualize agora

#cybersecurity #infosec #rce #vulnerability #wordpress #cve #plugin

Ver detalhe →

Uma vulnerabilidade crítica no plugin Gravity Forms para WordPress, afetando versões até 3.0.2, permite que atacantes não autenticados façam upload de arquivos arbitrários. Ao explorar uma confusão de hash em uploads de múltiplos arquivos, é possível gravar um arquivo poliglota PHP ou HTML no diretório temporário, levando à execução remota de código em servidores NGINX ou similares.

Mesmo quando a execução de PHP é bloqueada, a falha ainda possibilita ataques de cross-site scripting persistente. Atualize o Gravity Forms para a versão 3.0.3 ou superior e confirme que a proteção .htaccess do plugin continua ativa para evitar a execução de arquivos maliciosos.

Falha crítica no Gravity Forms permite upload arbitrário de arquivos e execução remota de código no WordPress

#cybersec #infosec #rce #vulnerability #wordpress #cve #gravityforms

Ver detalhe →

Cinco vulnerabilidades graves foram divulgadas em plugins e temas populares do WordPress, incluindo WPMU DEV Dashboard, Avada, TranslatePress, Pods e GiveWP. Com pontuações CVSS chegando ao máximo de 10.0, atacantes podem burlar autenticação, elevar privilégios ou executar código arbitrário em servidores vulneráveis, transformando um simples site em um pesadelo de segurança.

O problema mais crítico, uma falha no GiveWP, combina um 'unserialize' quebrado com dados controlados pelo atacante para obter execução remota de código. Quem usa qualquer versão afetada deve aplicar os patches imediatamente, auditar as instalações e repensar a confiança em componentes de terceiros. Segurança não é opcional — é a base da web moderna.

Falhas críticas em plugins WordPress permitem invasão total do site — atualize já!

#cybersecurity #infosec #rce #vulnerabilities #wordpress #web-security #plugins #site-takeover

Ver detalhe →

Uma vulnerabilidade crítica de execução remota de código não autenticada foi encontrada no plugin Sigma Forms Pro para WordPress, afetando todas as versões até a 1.4.5. Registrada como CVE-2026-14494 com pontuação CVSS 9.8, a falha permite que atacantes não autenticados enviem arquivos maliciosos e executem código em servidores vulneráveis.

A exploração é facilitada por vários templates padrão — incluindo Job Application, Support Ticket e Wholesale Application — que já vêm com campos de upload sem restrição de tipos de arquivo. O plugin também concede a capacidade unfiltered_upload durante o envio de formulários e ignora a validação MIME quando allowed_file_types não está configurado.

Atualize o Sigma Forms Pro para a versão 1.4.6 imediatamente, restrinja os tipos de upload permitidos e revise as capacidades de usuários após o patch. Enquanto protege seu site, considere também proteger seu próprio tráfego com uma VPN confiável.

RCE crítica não autenticada descoberta no plugin Sigma Forms Pro para WordPress — atualize agora

#cybersecurity #infosec #rce #vulnerability #wordpress #cve #plugin

Ver detalhe →

Alerta urgente para todos os sites WordPress que usam GiveWP: uma vulnerabilidade crítica de execução remota de código, registrada como CVE-2026-82222, foi encontrada nas versões até 4.16.7.1. A falha é causada pela desserialização insegura de dados não confiáveis, permitindo que atacantes não autenticados injetem objetos e potencialmente executem código arbitrário no seu servidor. Isso é um 10 perfeito na escala CVSS e exige ação imediata.

GiveWP é um dos plugins de doação mais populares do WordPress, o que torna esse risco ainda mais grave para ONGs e campanhas online. Se você usa, atualize para a versão corrigida agora mesmo, remova plugins suspeitos e revise os logs em busca de sinais de comprometimento. Fique protegido e não deixe um plugin desatualizado transformar sua causa em vítima.

Falha crítica no plugin GiveWP permite executar código em sites WordPress

#cybersecurity #infosec #rce #vulnerability #patch #wordpress #givewp #cve-2026-82222

Ver detalhe →

Uma vulnerabilidade de alta gravidade foi descoberta no plugin CM Map Locations para WordPress, nas versões até 2.1.8. A falha permite que invasores autenticados, mesmo com acesso de assinante, enviem arquivos arbitrários — incluindo arquivos potencialmente executáveis — o que pode levar à execução remota de código nos sites afetados.

O problema está no manipulador de upload do plugin, que faz filtragem incompleta de extensões sem verificação de tipo MIME ou validação adequada de permissões. Para piorar, o nonce necessário é exposto a qualquer assinante logado. Se você usa o CM Map Locations, atualize para a versão 2.1.9 imediatamente e revise o site em busca de arquivos não autorizados.

Reforçar sua presença online começa com boas ferramentas de segurança. Proteja suas conexões e mantenha seu trabalho privado com uma VPN confiável como a ProtonVPN — confira o link abaixo para garantir sua proteção.

Plugin CM Map Locations para WordPress é atingido por falha crítica de upload de arquivos — atualize para a 2.1.9

#cybersec #security #rce #vulnerability #wordpress #cve #plugin

Ver detalhe →

Uma vulnerabilidade crítica foi divulgada no popular plugin do WordPress The Events Calendar, uma das soluções de gerenciamento de eventos mais usadas na web. Registrada como CVE-2026-78265, a falha é uma injeção de objetos PHP sem autenticação nas versões até 6.17.2, com pontuação CVSS de 9.8 em 10.

Como a exploração não exige autenticação, qualquer invasor remoto pode potencialmente acionar uma desserialização perigosa, levando à execução de código arbitrário, acesso total ao banco de dados e comprometimento completo do site. Quem usa The Events Calendar deve tratar isso como uma emergência e atualizar para a versão 6.17.3 ou posterior agora mesmo.

Injeção Crítica de Objetos PHP sem Autenticação Atinge The Events Calendar (CVE-2026-78265)

#cybersecurity #critical #vulnerability #wordpress #cve #php-object-injection #the-events-calendar

Ver detalhe →