FunnelKit Automations: desserialização não confiável (CVE-2026-39738)
Foi encontrada uma vulnerabilidade de desserialização de dados não confiáveis que permite Object Injection (injeção de objeto PHP) no plugin FunnelKit Automations (wp-marketing-automations) do WordPress. A pontuação CVSS é 9.8.
Verificado no Shield: sim
Quem é afetado
As versões do FunnelKit Automations até a 3.8.6.1, inclusive, são afetadas. Isso vale para sites WordPress que têm o plugin instalado.
Como verificar
No painel do WordPress, abra a seção Plugins e encontre o FunnelKit Automations. Se a versão instalada for 3.8.6.1 ou anterior, o site se enquadra na descrição da vulnerabilidade.
Como corrigir
A descrição não informa uma versão corrigida. Acompanhe as atualizações do plugin pelo desenvolvedor e pelo diretório do WordPress, e aplique o patch assim que for lançado.
O que o Shield verifica grátis
O Shield encontra o FunnelKit Automations pelos endereços dos arquivos no código da página, lê a versão no readme.txt do plugin (a linha Stable tag) ou no ?ver= dos arquivos e compara com a última versão afetada 3.8.6.1. Ainda não foi divulgada uma versão corrigida, por isso o achado aparece como provável. Grátis, em toda verificação. Se o plugin não deixa rastros nas páginas, ele não aparece de fora: confira a versão no seu painel de administração.
Bom saber
A versão corrigida e qualquer exploração na prática ainda não foram divulgadas. Fonte: NVD, CVE-2026-39738.
