Broken Link Checker: execução de código sem autenticação (CVE-2026-18937)
Foi publicada a vulnerabilidade CVE-2026-18937 (CVSS 9) no plugin Broken Link Checker do WordPress. O plugin não limita quais variáveis de consulta aceita do usuário, então um usuário não autenticado pode sobrescrever variáveis globais do PHP.
Verificado no Shield: não
Quem é afetado
Broken Link Checker anterior à versão 2.4.12 em sites com links permanentes simples (plain). A execução de código arbitrário no servidor é possível quando um tema clássico (não de blocos) está ativo.
Como verificar
No painel do WordPress, abra Plugins e confira a versão do Broken Link Checker. Depois, em Configurações - Links permanentes, veja se o formato simples está selecionado e confirme se você usa um tema clássico.
Como corrigir
Há correção: atualize o plugin para a versão 2.4.12 ou posterior.
O que o Shield verifica não é verificado
Verificado pelo Shield: não. Normalmente isso não aparece de fora ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
Ainda não foi divulgado se a falha é explorada em ataques reais. Fonte: o registro do NVD para CVE-2026-18937.
