Plugin Descope para WordPress: bypass de autenticação (CVE-2026-110959)
Foi publicada a vulnerabilidade CVE-2026-110959 (CVSS 9.8) no plugin Descope para WordPress. O plugin não valida o token de autenticação antes de criar uma sessão do WordPress e aceita qualquer token não vazio.
Verificado no Shield: não
Quem é afetado
Sites WordPress com o plugin Descope em versão anterior à 1.2.0. Um atacante sem autenticação pode obter uma sessão de qualquer conta existente, inclusive de administrador, informando o e-mail dela.
Como verificar
No painel do WordPress, abra a página Plugins e localize o Descope. Se a versão instalada for inferior à 1.2.0, o site está afetado.
Como corrigir
Há correção disponível na versão 1.2.0. Atualize o plugin para a versão 1.2.0 ou posterior.
O que o Shield verifica não é verificado
Verificado pelo Shield: não. Normalmente isso não aparece de fora ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
Ainda não foi divulgado se a falha é explorada em ataques reais. Fonte: a entrada do NVD para CVE-2026-110959.
