CVE-2026-126173: Vulnerabilidade crítica no plugin AutomatorWP Pro do WordPress

Introdução

A vulnerabilidade CVE-2026-126173 afeta o plugin AutomatorWP Pro para WordPress, especificamente o seu addon de webhook. Esta falha de segurança permite que atacantes não autenticados contornem a autorização e redefinam a senha de qualquer conta WordPress, incluindo contas de administradores.

O que aconteceu?

O plugin AutomatorWP Pro apresenta uma falha de verificação de autorização que permite que utilizadores não autenticados realizem ações que deveriam ser restritas. A vulnerabilidade é ativada quando um administrador configura uma automação que combina um gatilho de Receber Webhook com uma ação de Atualizar Utilizador, deixando o campo de ID de Utilizador em branco e mapeando o campo de Senha para a tag de senha do webhook.

Como funciona a vulnerabilidade

A falha ocorre devido à falta de verificação adequada de que um utilizador está autorizado a realizar uma ação específica. Quando um administrador configura a automação de forma inadequada, um atacante pode explorar essa configuração para redefinir a senha de qualquer conta, resultando numa possível tomada de controlo total da conta.

Qual é o impacto real?

O impacto desta vulnerabilidade é crítico, pois permite que atacantes não autenticados acedam e controlem contas de utilizadores, incluindo administradores. Isso pode levar a compromissos de segurança significativos, incluindo a possibilidade de manipulação de dados, instalação de malware e outras atividades maliciosas.

Que versões são afetadas?

• 1.4.4 e anteriores

Como corrigir

1. Atualize o plugin AutomatorWP Pro para a versão mais recente disponível.
2. Revise as configurações de automação para garantir que os campos de ID de Utilizador e Senha estejam configurados corretamente.
3. Considere desativar o addon de webhook até que uma correção oficial seja disponibilizada.

Mitigação enquanto não atualizas

Enquanto não for possível atualizar, recomenda-se desativar o addon de webhook ou rever cuidadosamente as automações existentes para evitar configurações que possam ser exploradas.

Conclusão

A vulnerabilidade CVE-2026-126173 no plugin AutomatorWP Pro representa um risco significativo para a segurança de contas WordPress. É crucial que os utilizadores do plugin tomem medidas imediatas para corrigir a situação e proteger as suas contas.