Identificador / NVD
CVE-2026-93549
Ficha técnica de vulnerabilidade
Análise técnica
O plugin CoCart para WordPress não restringe seu filtro de autenticação REST aos próprios endpoints, desativando a proteção de nonce do WordPress para todas as rotas da API. Isso permite que um atacante realize CSRF contra usuários administradores, criando contas com privilégios de administrador usando a sessão autenticada da vítima. A falha está presente em versões anteriores a 4.9.7 e pode ser explorada remotamente via requisições CSRF.
ANÁLISE EM PORTUGUÊS · 11 DE OUT. DE 2026
Descrição original do NVD
The CoCart WordPress plugin before 4.9.7 does not scope its REST API authentication filter to its own endpoints, which disables WordPress core's REST nonce protection for every route, allowing an attacker to perform a cross-site request forgery attack that creates a new administrator account using a logged-in administrator's session.
Resposta recomendada
Atualize o CoCart para a versão 4.9.7 ou superior. Enquanto a atualização não for aplicada, desative o plugin ou limite o acesso à API REST apenas a usuários confiáveis via regras de firewall.
Orientação gerada por IA. Confirme versões afetadas e correções no aviso do fornecedor antes de aplicar mudanças.
No radar da Statecraft
Nenhuma campanha ou briefing publicado com vínculo explícito a esta CVE.
Os briefings são relacionados pelo identificador CVE. Verifique as fontes de cada briefing para confirmar o contexto.
CVSS mede severidade técnica. EPSS estima a probabilidade de exploração nos 30 dias seguintes à data do score.