Vulnerabilidade crítica no plugin Burst Statistics do WordPress
Hackers estão explorando uma vulnerabilidade crítica de bypass de autenticação no plugin Burst Statistics do WordPress, que permite acesso administrativo a sites. Este plugin, focado em privacidade, está ativo em aproximadamente 200 mil sites WordPress e é uma alternativa leve ao Google Analytics. A falha, identificada como CVE-2026-8181, foi introduzida na versão 3.4.0 do plugin, lançada em 23 de abril, e também está presente na versão 3.4.1. A vulnerabilidade permite que atacantes não autenticados se façam passar por usuários administradores conhecidos durante requisições da API REST, podendo até criar contas de administrador fraudulentas. O problema decorre da interpretação incorreta dos resultados da função ‘wp_authenticate_application_password()’, que trata um erro como uma autenticação bem-sucedida. A Wordfence, que descobriu a falha, já bloqueou mais de 7.400 tentativas de ataque em 24 horas. Os usuários do plugin são aconselhados a atualizar para a versão 3.4.2 ou desativar o plugin, pois cerca de 115 mil sites ainda estão vulneráveis a ataques de tomada de conta administrativa.