WHIZZ: tomada de contas via redefinição de senha (CVE-2026-115230)
Foi reportada a vulnerabilidade CVE-2026-115230 (CVSS 9.8) no plugin WHIZZ para WordPress. O plugin não valida a chave de redefinição antes de alterar a senha e depende apenas de um nonce exposto a visitantes não autenticados.
Verificado no Shield: não
Quem é afetado
Sites WordPress com o plugin WHIZZ na versão 1.1.8 ou anterior. Um atacante pode definir uma senha arbitrária para qualquer usuário, inclusive administradores, e assumir a conta.
Como verificar
No painel do WordPress, abra a página Plugins e verifique se o WHIZZ está instalado e qual é a versão. A versão 1.1.8 e anteriores são afetadas.
Como corrigir
A fonte não informa uma versão corrigida. Se você não precisa do WHIZZ, desative e exclua o plugin. Se precisa, acompanhe o lançamento de uma atualização e instale assim que sair.
O que o Shield verifica não é verificado
Verificado pelo Shield: não. Normalmente isso não aparece de fora ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
A versão corrigida e dados de exploração ainda não foram divulgados. Fonte: NVD.
