Thrive Apprentice: injeção de objeto PHP sem autenticação (CVE-2026-49107)
Foi encontrada a vulnerabilidade CVE-2026-49107, com pontuação CVSS 9,8, no plugin Thrive Apprentice para WordPress. Trata-se de uma injeção de objeto PHP sem autenticação, ou seja, não é preciso fazer login para explorá-la.
Verificado no Shield: sim
Quem é afetado
Sites com o Thrive Apprentice em versões anteriores à 10.8.10.2.
Como verificar
No painel do WordPress, abra a página Plugins e veja a versão instalada do Thrive Apprentice. Se for anterior à 10.8.10.2, o site está vulnerável.
Como corrigir
Há uma correção disponível na versão 10.8.10.2. Atualize o plugin para essa versão ou uma mais recente, de preferência depois de fazer um backup do site.
O que o Shield verifica grátis, mais a fundo na verificação paga
Sim, o Shield verifica isso por fora: a versão do plugin é lida a partir das URLs de arquivos no código da página (grátis) ou do readme.txt (verificação paga) e comparada com o banco de vulnerabilidades. Se a versão for anterior à corrigida, o relatório mostra um achado com link para esta nota; se a versão não estiver visível, o Shield pede que você verifique.
Bom saber
Os detalhes de exploração e qualquer evidência de ataques ainda não foram divulgados na fonte (NVD).
