Segurança Web

A Vercel lançou patches de segurança para duas vulnerabilidades críticas no framework Next.js, que permitem a execução remota de código não autenticado. A primeira, identificada como CVE-2026-75604, é uma falha de travessia de caminho que afeta aplicações Next.js em servidores com sistema de arquivos Windows, com uma pontuação CVSS de 9.0. A segunda vulnerabilidade está relacionada a um estouro de buffer na biblioteca libheif, usada para otimização de imagens AVIF, com uma pontuação CVSS de 9.5. Ambas as falhas afetam versões do Next.js entre 13.4 e 15.5.23, e 16.0 a 16.3.2. A Vercel recomenda que os usuários que hospedam suas aplicações em Windows atualizem imediatamente para as versões 15.5.24 ou 16.3.3, lançadas em 25 de agosto de 2026. As aplicações hospedadas na Vercel já estão protegidas e não requerem atualização. Embora não tenha sido relatada exploração ativa dessas vulnerabilidades até a data do artigo, a gravidade das falhas justifica uma ação rápida por parte dos desenvolvedores e administradores de sistemas.

Uma nova vulnerabilidade descoberta no WordPress permite que um pedido HTTP anônimo execute código em sites, afetando versões 6.9.0 a 6.9.4 e 7.0.0 a 7.0.1. O problema foi identificado por Adam Kues, da Assetnote, e reportado através do programa HackerOne do WordPress. A falha, classificada como uma confusão na rota de lote da API REST e uma injeção SQL, pode ser explorada sem pré-condições, tornando-a crítica para sites que não possuem plugins instalados. O WordPress lançou atualizações de segurança (6.9.5 e 7.0.2) em 17 de julho de 2026, para corrigir a vulnerabilidade. Embora a empresa tenha implementado atualizações forçadas, não está claro se isso se aplica a sites que desativaram as atualizações automáticas. Enquanto isso, a Assetnote disponibilizou uma ferramenta para que os administradores verifiquem se suas instâncias estão vulneráveis. A exploração em massa de vulnerabilidades do WordPress é uma preocupação crescente, com mais de 500 milhões de sites utilizando essa plataforma. A falta de um CVE (Identificador de Vulnerabilidade Comum) para essa falha pode dificultar a detecção e resposta a ataques.

Uma falha de segurança de severidade máxima foi identificada no plugin Modular DS do WordPress, afetando todas as versões até a 2.5.1. A vulnerabilidade, classificada como CVE-2026-23550 com uma pontuação CVSS de 10.0, permite a escalada de privilégios não autenticados. O problema reside na forma como o plugin gerencia suas rotas, permitindo que atacantes contornem mecanismos de autenticação ao ativar o modo de ‘pedido direto’. Isso expõe várias rotas sensíveis, como /login/ e /manager/, permitindo ações que vão desde login remoto até a obtenção de dados confidenciais. Desde 13 de janeiro de 2026, ataques explorando essa falha foram detectados, com tentativas de criar usuários administradores. O plugin possui mais de 40.000 instalações ativas e a versão corrigida 2.5.2 já está disponível. A situação ressalta os riscos de confiar implicitamente em caminhos de requisição internos expostos à internet pública. Usuários do plugin são fortemente aconselhados a atualizar para a versão corrigida o mais rápido possível.