Security For WooCommerce: login como qualquer usuário sem autenticação (CVE-2026-123695)
O plugin Security For WooCommerce para WordPress não restringe o acesso a várias de suas rotas da API REST. Um visitante não autenticado pode gerar tokens de login para todos os usuários, obtê-los e entrar como qualquer um, inclusive administradores. A fonte informa CVSS 9.8.
Verificado no Shield: não
Quem é afetado
Sites WordPress com o plugin Security For WooCommerce na versão 1.0.16 ou anterior (inclusive).
Como verificar
No painel do WordPress, abra Plugins e localize Security For WooCommerce. Se a versão for 1.0.16 ou inferior, o site é afetado. Revise também a lista de administradores e os logins recentes em busca de atividade desconhecida.
Como corrigir
A fonte não informa uma versão corrigida. Verifique se há atualização do plugin. Até lá, considere desativá-lo e trocar as senhas de administrador se houver logins suspeitos.
O que o Shield verifica não é verificado
Verificado pelo Shield: não. Normalmente isso não aparece de fora ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
A versão corrigida e se a falha está sendo explorada ainda não foram divulgadas. Fonte: NVD.
