WooCommerce 11.0 corrige falha de injeção de SQL que exige acesso de gerente de loja
O que fazer
Outra falha do WooCommerce, publicada no mesmo dia, foi corrigida na 11.1.0: atualizando para ela, você resolve as duas. Ver aviso
- Afeta
- Sites com o WooCommerce anterior à 11.0
- Quem faz
- Você, em qualquer plano: o que é do site é sempre seu
- Ação
- Atualizar o WooCommerce para a 11.1.0 ou superiorA mais recente hoje é a 11.1.2.
- Prazo
- Até 11/09já passou7 dias após a publicação. Se ainda não atualizou, atualize agora.
- Exploração
- Pela internet · com login privilegiado · sem ação da vítima
Passo a passo
- Vale também revisar quem tem perfil de gerente de loja ou superior no site.
Onde vejo a versão: em Plugins › Plugins instalados, logo abaixo do nome de cada plugin.
Administra pelo terminal? Comandos do WP-CLI
- Ver a versão
wp plugin get woocommerce --field=version - Atualizar
wp plugin update woocommerce
O que aconteceu
O plugin WooCommerce para WordPress tem uma vulnerabilidade de injeção de SQL (CVE-2026-57777), um tipo de falha que permite inserir comandos extras nas consultas ao banco de dados. O problema afeta as versões anteriores à 11.0, ou seja, até a 10.9.4. Para explorar a falha, a pessoa precisa estar logada com perfil de gerente de loja ou superior, e com isso poderia extrair informações sensíveis do banco de dados. Quem usa WooCommerce em qualquer plano deve ficar atento.
Fonte: registro na Wordfence Intelligence. Copyright 2012–2026 Defiant Inc. Uso conforme a licença da Wordfence Intelligence.
Trecho do aviso original, em inglês
The WooCommerce plugin for WordPress is vulnerable to SQL Injection in all versions up to, and including, 10.9.4. This is due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with shop manager-level access and above, to append additional SQL queries into already existing queries that can be used…
Título original e fonte
ENWooCommerce < 11.0: Authenticated (Shop Manager+) SQL Injection
Versões
- Afetadas
- < 11.0
- Corrigida em
- 11.0
- Mais recente
- 11.1.2
O que são esses termos?
- CVE
- Código único de uma falha de segurança, como CVE-2026-12345. Serve para achar a mesma falha em qualquer fonte.
- CVSS
- Nota de 0 a 10 que mede a gravidade técnica de uma falha. De 9 a 10 é crítica; de 7 a 8,9, alta; de 4 a 6,9, média; abaixo de 4, baixa.
- Exploração
- Como a falha pode ser explorada: pela internet ou só com acesso ao servidor, com ou sem login, com ou sem ajuda de alguém.
- Prazo
- Prazo recomendado para quem precisa agir, contado da publicação. Crítica ou KEV: imediatamente; Alta: em até 7 dias; Média: em até 30 dias; Baixa: na próxima atualização de rotina; Sem nota oficial: em até 7 dias. Vale para o que é do site (WordPress e plugins) em qualquer plano e, no que é do servidor, só para VPS e Cloud: na hospedagem e na revenda, quem atualiza o servidor é a Rapid Cloud.