Streamit: execução remota de código sem autenticação (CVE-2026-13423)
Foi publicada a vulnerabilidade CVE-2026-13423 (CVSS 9.8) no tema Streamit para WordPress. Uma de suas rotas AJAX não verifica autorização nem nonce e chama uma função PHP com argumentos definidos pelo atacante.
Verificado no Shield: não
Quem é afetado
Afeta sites com o tema Streamit anterior à versão 4.5.2. Um atacante sem autenticação pode, por exemplo, criar uma conta de administrador e obter execução remota de código (RCE).
Como verificar
No painel do WordPress, acesse Aparência → Temas e confira a versão do Streamit. Se for inferior a 4.5.2, o site está vulnerável.
Como corrigir
Há correção disponível: atualize o tema Streamit para a versão 4.5.2 ou posterior. Depois de atualizar, verifique na lista de administradores se há contas que você não reconhece.
O que o Shield verifica não é verificado
Verificado pelo Shield: não. Normalmente isso não aparece de fora ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
Ainda não foi divulgado se a falha é explorada em ataques reais. Fonte: NVD.
