WordPress 7.0.3 corrige falha de XSS na tela de login que pode levar à execução de código
O que fazer
Já existe correção mais nova: a 7.1.3, de 06/10, inclui estas correções. Atualize direto para ela. Ver o mais recente
- Afeta
- Sites com WordPress até a 7.0.2 (e séries antigas sem a correção)
- Quem faz
- Você, em qualquer plano: o que é do site é sempre seu
- Ação
- Atualizar direto para a 7.1.3
- Prazo
- Até 13/08já passou7 dias após a publicação. Se ainda não atualizou, atualize agora.
- Exploração
- Pela internet · sem login · depende de alguém clicar ou abrir algo · só em condições específicas
Passo a passo
- Enquanto isso, evite clicar em links desconhecidos que levem à tela de login do seu site.
Onde vejo a versão: no painel do WordPress, em Painel › Atualizações.
Administra pelo terminal? Comandos do WP-CLI
- Ver a versão
wp core version - Atualizar
wp core update --minordentro da mesma série
O que aconteceu
O WordPress publicou a versão 7.0.3 para corrigir a vulnerabilidade CVE-2026-64638, de severidade alta (CVSS 8.9), na tela de login. Trata-se de um XSS refletido, falha em que um link ou site malicioso faz o navegador da vítima executar um código indevido. Em certas condições, isso pode chegar à execução de código PHP no site, mas depende de a vítima ser enganada e interagir com o site malicioso. A falha afeta as versões de 4.7.0 a 7.0.2, e o fornecedor também liberou correções para versões anteriores, como 6.9.6, 6.8.7, 6.7.6 e outras até a 4.7.34.
Trecho do aviso original, em inglês
WordPress is vulnerable to a pre-auth reflected XSS vulnerability on the login screen. Via a specially crafted malicious third-party website hosted by an attacker, it is possible for this to be escalated to an RCE vulnerability with conditions outside of the attackers control. This requires successful social engineering of and explicit interaction by the target victim. This issue affects all versions of WordPress.…
Título original e fonte
ENPre-auth reflected XSS on login screen with potential to lead to PHP code execution
Versões
| Série | Afetadas | Corrigida em |
|---|---|---|
| 7.0 | 7.0.0 a 7.0.2 | 7.0.3 |
| 6.9 | 6.9.0 a 6.9.5 | 6.9.6 |
| 6.8 | 6.8.0 a 6.8.6 | 6.8.7 |
| 6.7 | 6.7.0 a 6.7.5 | 6.7.6 |
| 6.6 | 6.6.0 a 6.6.5 | 6.6.6 |
| 6.5 | 6.5.0 a 6.5.8 | 6.5.9 |
Ver as outras 18 séries
| Série | Afetadas | Corrigida em |
|---|---|---|
| 6.4 | 6.4.0 a 6.4.8 | 6.4.9 |
| 6.3 | 6.3.0 a 6.3.8 | 6.3.9 |
| 6.2 | 6.2.0 a 6.2.9 | 6.2.10 |
| 6.1 | 6.1.0 a 6.1.10 | 6.1.11 |
| 6.0 | 6.0.0 a 6.0.12 | 6.0.13 |
| 5.9 | 5.9.0 a 5.9.13 | 5.9.14 |
| 5.8 | 5.8.0 a 5.8.13 | 5.8.14 |
| 5.7 | 5.7.0 a 5.7.15 | 5.7.16 |
| 5.6 | 5.6.0 a 5.6.17 | 5.6.18 |
| 5.5 | 5.5.0 a 5.5.18 | 5.5.19 |
| 5.4 | 5.4.0 a 5.4.19 | 5.4.20 |
| 5.3 | 5.3.0 a 5.3.21 | 5.3.22 |
| 5.2 | 5.2.0 a 5.2.24 | 5.2.25 |
| 5.1 | 5.1.0 a 5.1.22 | 5.1.23 |
| 5.0 | 5.0.0 a 5.0.25 | 5.0.26 |
| 4.9 | 4.9.0 a 4.9.29 | 4.9.30 |
| 4.8 | 4.8.0 a 4.8.28 | 4.8.29 |
| 4.7 | 4.7.0 a 4.7.33 | 4.7.34 |
CVEs 1
O que são esses termos?
- CVE
- Código único de uma falha de segurança, como CVE-2026-12345. Serve para achar a mesma falha em qualquer fonte.
- CVSS
- Nota de 0 a 10 que mede a gravidade técnica de uma falha. De 9 a 10 é crítica; de 7 a 8,9, alta; de 4 a 6,9, média; abaixo de 4, baixa.
- Exploração
- Como a falha pode ser explorada: pela internet ou só com acesso ao servidor, com ou sem login, com ou sem ajuda de alguém.
- Prazo
- Prazo recomendado para quem precisa agir, contado da publicação. Crítica ou KEV: imediatamente; Alta: em até 7 dias; Média: em até 30 dias; Baixa: na próxima atualização de rotina; Sem nota oficial: em até 7 dias. Vale para o que é do site (WordPress e plugins) em qualquer plano e, no que é do servidor, só para VPS e Cloud: na hospedagem e na revenda, quem atualiza o servidor é a Rapid Cloud.