WordPress Core: caminhos de preparação previsíveis na atualização permitem execução remota de código
O núcleo do WordPress, das versões 4.7 a 7.1.3, usa caminhos de preparação previsíveis e acessíveis pela web nas atualizações completas, o que permite a atacantes sem conta executar código durante a atualização. Consta do catálogo KEV da CISA. CVSS 8,1.
- Identificador: CVE-2026-119977
- Publicado em: 2026-10-31
- Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 8.1 (HIGH)
Descrição (texto original em inglês):
WordPress Core is vulnerable to Remote Code Execution in versions 4.7 through 7.1.3. This is due to predictable, web-accessible staging paths used during full-package core upgrades. This makes it possible for unauthenticated attackers to execute code on the server during the upgrade window.
- Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
- Técnica MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application)
Fontes
- Registo do CVE no NVDnvd.nist.gov
- Referência (core.trac.wordpress.org)core.trac.wordpress.org
- Referência (core.trac.wordpress.org)core.trac.wordpress.org
- Referência (www.wordfence.com)www.wordfence.com
- Técnica MITRE ATT&CK T1190attack.mitre.org
Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.