# O que é CVE no WordPress O que é CVE no WordPress é o identificador oficial e único de uma vulnerabilidade publica, como o CVE-2020-35489 do Contact Form 7. Segundo o NVD (NIST) (2024), essa falha recebeu CVSS 10.0, o teto da escala. Um plugin com CVEs corrigidos sinaliza manutenção ativa, não risco. O risco real é o CVE sem patch instalado hoje. Um CVE no WordPress é a etiqueta padronizada que o mundo inteiro usa para nomear uma mesma vulnerabilidade em um plugin, tema ou no próprio núcleo. CVE significa Common Vulnerabilities and Exposures, e o ID segue o formato CVE mais ano mais número sequencial. Sem essa sigla, cada empresa de segurança chamaria o mesmo buraco por um nome diferente, e ninguem conseguiria coordenar a correção. No acervo de vulnerabilidades WordPress da FULL, cada falha é rastreada por esse ID. Quem entende o conceito de CVE para de reagir no escuro e passa a agir sobre dados reais. --- ## O que é um CVE no WordPress na pratica Um CVE no WordPress é um registro publico com ID, descrição técnica e a versão exata afetada. O CVE-2020-35489, do Contact Form 7, descreve um upload sem validação de tipo nas versões abaixo de 5.3.2, corrigido nessa release. O ID nunca muda e vale para sempre. Essa permanencia é o ponto central do padrão: qualquer scanner, host ou desenvolvedor que cite CVE-2020-35489 fala da mesma falha, na mesma versão. Sem o ID, cada fornecedor inventaria um apelido próprio. A tabela abaixo separa o CVE em si da nota de gravidade.
CVE no WordPress: identificador, gravidade e correção
Conceito O que descreve Exemplo real no WordPress
CVE (o ID) Nome único e permanente da vulnerabilidade. CVE-2020-35489 no Contact Form 7.
CVSS (a nota) Gravidade de 0 a 10 da falha. CVSS 10.0 (critico, teto da escala).
Versão do patch Release que corrige a falha. Contact Form 7 5.3.2.
--- ## Quem atribui o ID CVE e por que isso importa Os IDs CVE são atribuidos por uma rede de cerca de 400 organizações chamadas CNA, as CVE Numbering Authorities, credenciadas sob o programa coordenado pela CISA. A FULL é a única empresa brasileira reconhecida como CNA, desde , autorizada a atribuir IDs CVE oficiais. Na pratica, isso significa que quem escreve sobre vulnerabilidade aqui literalmente cataloga CVE no fluxo global, não apenas comenta de fora. Esse é o tipo de autoridade que muda a profundidade do conteudo: a analise sai da teoria de blog e entra no processo real de quem opera a vulnerabilidade WordPress de ponta a ponta, da descoberta responsável até a publicação do ID. Outras CNAs conhecidas incluem a própria WordPress Foundation, a Microsoft e a Google, o que coloca a FULL no mesmo nível de responsabilidade de catalogação que essas organizações, ainda que com foco no ecossistema WordPress brasileiro. --- ## CVE não é sinônimo de risco atual Muitos CVEs em um plugin assustam a primeira vista, mas o número total é histórico, não o risco de hoje. O Elementor acumula 61 CVEs ao longo dos anos, e a leitura ingenua diz que ele é inseguro. A leitura correta é o oposto: falhas catalogadas e corrigidas indicam auditoria constante. O risco real é outro número, o de CVEs sem patch disponível ou recem descobertos. O WooCommerce, com 96 CVEs historicos, hoje está em estado de atenção por falhas recentes, não por criticas em aberto. O Wordfence, com 34 CVEs no histórico e todos corrigidos, é classificado como seguro justamente por essa manutenção. Confundir histórico com exposição atual leva ao erro mais comum do suporte: desinstalar um plugin maduro e bem mantido para adotar um obscuro que nunca foi auditado e que, por isso, simplesmente não tem nenhum CVE registrado. --- ## Cves reais que marcaram o ecossistema WordPress Dois CVEs ilustram como uma falha vira invasão em massa quando o site fica desatualizado. O CVE-2020-35489, do Contact Form 7, com CVSS 10.0, deixava o upload aceitar qualquer tipo de arquivo nas versões abaixo de 5.3.2: um atacante enviava um PHP malicioso e ganhava execução de código no servidor. O segundo é o CVE-2023-48777, do Elementor, com CVSS 9.9: abaixo da versão 3.18.2, um endpoint sem checagem de permissão deixava qualquer usuário autenticado subir arquivos. Ambos já foram corrigidos, o que reforça o ponto, o perigo não é existir o CVE, é rodar a versão vulneravel. A gente ve no suporte da FULL que sites invadidos quase sempre travaram em uma versão com CVE publico há meses. Nesse cenario, o passo certo é remover o malware do WordPress e só então atualizar. --- ## Como ler a gravidade de um CVE pelo CVSS A nota CVSS traduz um CVE em um número de 0 a 10 que define a urgencia da correção. A escala do CVSS 3.1 usa faixas: de 0,1 a 3,9 é baixo, de 4,0 a 6,9 é medio, de 7,0 a 8,9 é alto e de 9,0 a 10,0 é critico, o nível que exige patch imediato. O CVE-2020-35489, com CVSS 10.0, entra na faixa critica; uma falha de XSS refletido com CVSS 6.1 tende a ser menos urgente, embora ainda mereça correção. A nota considera vetor de ataque, complexidade e impacto em confidencialidade. Na maioria dos cenarios que chegam ao suporte, priorizar tudo acima de CVSS 8.0 já cobre o grosso do risco real, sem paralisar a operação tentando corrigir cada alerta de baixa gravidade no mesmo dia. --- ## Como descobrir e corrigir cves no seu site Descobrir qual CVE afeta o seu site exige cruzar a lista de plugins instalados com bancos publicos de vulnerabilidade. Ferramentas como Wordfence, Patchstack e o repositorio da FULL fazem esse cruzamento e apontam a versão afetada. Segundo o banco do Patchstack, o ecossistema WordPress soma dezenas de milhares de vulnerabilidades catalogadas, o que torna a varredura manual inviavel. O fluxo defensivo é direto: identifique a versão vulneravel, leia a descrição do CVE no NVD do NIST, aplique o patch e confirme. Antes de qualquer atualização em massa, um backup automático do WordPress evita que um update quebre o site sem rota de volta, algo que tende a acontecer quando um plugin tem dependencia de versão de PHP. Para escolher a camada de defesa, compare um plugin de segurança WordPress e ajuste a configuração do Wordfence ao seu trafego, sobretudo as regras de firewall e o limite de tentativas de login. --- ## Quando o plano FULL faz sentido para gestão de CVE Acompanhar CVE em um site é viavel manualmente; em dez ou mais, vira trabalho diario que ninguem faz. O plano PRO da FULL custa R$849 e inclui o bundle de plugins gerenciados, o que dá R$85 por site quando você distribui entre dez instalações, com atualização centralizada. Esse R$85 por site cobre o monitoramento de vulnerabilidade e a aplicação de patch sem trabalho manual. Não é hospedagem: é a camada de segurança e manutenção que roda sobre o seu ambiente atual, qualquer que seja o host. Para uma agencia que gerencia carteira de clientes, o modelo troca a corrida atras de cada patch por um processo único. Conheça os planos em FULL.services/planos e veja o bundle completo de 16 plugins inclusos. Para auditar agora, sem instalar nada, rode o FULL Scan e confira o repositorio de vulnerabilidades mantido pela FULL como CNA. ---

Perguntas frequentes sobre CVE no WordPress

O que significa a sigla CVE no contexto do WordPress?

CVE significa Common Vulnerabilities and Exposures, o padrão global que dá um ID único a cada vulnerabilidade. No WordPress, esse ID identifica falhas em plugins, temas ou no núcleo, como o CVE-2020-35489 do Contact Form 7. O número permanece o mesmo para sempre, então qualquer scanner, host ou desenvolvedor que cite aquele CVE fala exatamente da mesma falha, da mesma versão afetada.

É possível saber se um plugin tem CVE sem instalar nada no site?

Sim, é possível consultar CVE sem instalar nenhum plugin. Bancos publicos como o NVD do NIST, o Patchstack e o repositorio da FULL listam os CVEs por plugin e por versão afetada. Basta buscar o nome do plugin e a versão que você usa. O FULL Scan faz esse cruzamento online em segundos, apontando qual CVE atinge a versão instalada, sem precisar subir nada para o servidor.

Por que um plugin com muitos CVEs pode ser mais seguro que um sem nenhum?

Porque o número total de CVEs é histórico, não o risco de hoje. O Elementor tem 61 CVEs catalogados e quase todos corrigidos, o que indica auditoria constante e manutenção ativa. Um plugin obscuro com zero CVE muitas vezes nunca foi auditado por ninguem, então a ausencia de registro reflete falta de atenção, não segurança. O risco real é sempre o CVE sem patch disponível.

Qual a diferenca entre CVE e CVSS na pratica?

CVE é o nome da vulnerabilidade; CVSS é a nota de gravidade dela. O CVE-2020-35489 é o identificador da falha do Contact Form 7, e o CVSS 10.0 é o quanto ela é grave, numa escala de 0 a 10. Na pratica, o CVE diz qual é o problema e a versão afetada, enquanto o CVSS diz se você corrige hoje ou pode esperar a próxima janela de manutenção.

Quanto tempo a FULL leva para catalogar uma vulnerabilidade como CNA?

Como CNA reconhecida sob a CISA desde maio de 2022, a FULL segue o fluxo coordenado de divulgação responsável, que prioriza o patch antes da publicação do ID. O prazo varia conforme a complexidade e a resposta do desenvolvedor do plugin. O que muda é a autoridade: a FULL atribui o ID CVE oficial em vez de apenas reportar, o que coloca a empresa dentro do processo global, não na borda dele.

--- ## Próximos passos para proteger seu WordPress contra CVE Entender o que é CVE no WordPress muda a forma como você reage a um alerta de segurança: em vez de pânico com o número total, foco no que está sem patch hoje. O caminho pratico é simples: mapeie suas versões, cruze com um banco publico, priorize por CVSS e aplique os patches com backup ativo. Para aprofundar a estratégia inteira, o guia de segurança WordPress da FULL conecta esse conceito às defesas do dia a dia, e as ferramentas para verificar vulnerabilidades automatizam a varredura. Para continuar aprendendo, o FULL Academy reune os tutoriais e guias de WordPress em um só lugar.