| Faixa CVSS | Severidade | Leitura prática no site |
|---|---|---|
| 0,1 a 3,9 | Baixa | Exige acesso já autenticado; risco contextual |
| 4,0 a 6,9 | Média | Maioria dos CVEs de plugins; avaliar exposição |
| 7,0 a 8,9 | Alta | Explorável remoto; priorize o patch |
| 9,0 a 10,0 | Crítica | Sem auth, exploit provável; aja em horas |
Legenda: a nota base ordena a gravidade técnica, mas não decide sozinha o que corrigir primeiro.
--- ## Por que a nota CVSS sozinha engana no WordPress Quem aprende **o que é CVSS no WordPress** descobre cedo que a nota base engana, porque mede gravidade técnica, não o risco real do seu site. Nos tickets da FULL, boa parte dos pânicos vem de um alerta com CVSS 9,8 já corrigido há anos: o número alto continua no histórico do CVE, mas a brecha caiu a zero depois do patch aplicado. O risco verdadeiro combina três fatores que a nota base ignora: existe patch disponível, existe exploit público e o recurso vulnerável está exposto. O caso do Contact Form 7 ilustra bem. O CVE-2020-35489 recebeu CVSS 10,0 por permitir upload arbitrário de arquivo antes da versão 5.3.2, abrindo caminho para shell remoto. Hoje, segundo o perfil público do WPVulnerability, o plugin está seguro e o risco atual é zero. Tratar esse 10,0 como ameaça de hoje leva ao downgrade por pânico, que reabre a brecha fechada pelo gerenciamento de patches. --- ## Risco atual versus histórico: Como ler o CVSS junto do CVE Ler **o que é CVSS no WordPress** com precisão exige separar risco atual de histórico. Risco atual é a soma de CVEs sem patch hoje mais os recentes ainda em janela de exploração; histórico é o total de falhas já corrigidas. Um plugin com dezenas de CVEs todos resolvidos é sinal de auditoria viva, não de perigo. Saber o que é CVSS no WordPress sem essa distinção leva a corrigir o problema errado. O Elementor é o caso típico: segundo o perfil público do WPVulnerability, ele acumula 62 CVEs no histórico, incluindo o CVE-2023-48777 de CVSS 9,9, um upload arbitrário corrigido na versão 3.18.2. Esse 9,9 virou histórico: com a versão atualizada, deixou de ser risco. A maioria dos casos críticos que chegam ao suporte da FULL é assim, nota alta de falha já corrigida. O firewall ganha tempo, mas o perigo real só aparece num CVE recente sem patch, raro em plugins de manutenção ativa como o Wordfence. --- ## Onde a FULL entra: Autoridade de quem cataloga CVE Discutir **o que é CVSS no WordPress** ganha outro peso quando vem de quem atribui CVE: a FULL é, desde 3 de maio de 2022, a única empresa brasileira reconhecida como CNA (CVE Numbering Authority) sob a estrutura da CISA. A equipe que escreve sobre vulnerabilidade aqui literalmente cataloga IDs CVE oficiais. Isso muda a leitura da nota na prática: cruzar o CVSS com a versão instalada, o patch e a exposição vale mais que olhar o número sozinho. Por isso a leitura na FULL nunca para no valor da nota. Para colocar isso em rotina, vale uma auditoria completa de segurança no WordPress e o uso de ferramentas para verificar vulnerabilidades que já mapeiam versão contra patch. Quem quer aprofundar o ciclo encontra o passo a passo em como configurar o Wordfence no WordPress, onde a leitura do CVSS deixa de ser susto e vira critério de decisão. --- ## CVSS aplicado: Tipos de falha comuns no WordPress Na prática, **o que é CVSS no WordPress** aparece colado a tipos de falha bem definidos, e reconhecer o tipo já estima a gravidade antes da nota. Injeção de SQL e upload de arquivo costumam pontuar entre 9 e 10 por permitirem controle remoto; o cross-site scripting e o CSRF caem mais na faixa média a alta, conforme exijam ou não interação do usuário. A defesa segue sempre a mesma lógica: manter a versão corrigida, validar entradas e reduzir a superfície exposta. Dois caminhos práticos cobrem a maioria dos casos. Para entender o mecanismo do XSS e como neutralizá-lo, veja o que é cross-site scripting e como corrigir. Para a falha de maior CVSS médio em formulários e buscas, o guia de como proteger o WordPress de SQL injection mostra a correção pela raiz. Em ambos, o foco é defensivo: detectar, corrigir e monitorar. Para escanear o site agora, use o FULL Scan ou consulte o repositório de vulnerabilidades com dados oficiais de CVEs. --- ## Comece a corrigir pela prioridade certa, não pela nota Aplicar o que é CVSS no WordPress na rotina vira economia quando a decisão segue exposição e patch, não o medo do número. O plano PRO da FULL reúne os 17 plugins essenciais, incluindo o All in One Security e o Wordfence, por R$849 por ano, com atualização e monitoramento em um único painel. Diluído entre os sites que você gerencia, isso fica em torno de R$85 por site. A gente vê no suporte que centralizar patch e leitura de CVE encurta o tempo entre a divulgação pública de um CVE e a versão corrigida chegar ao ar, que é justamente a janela de horas ou dias em que o exploit automatizado costuma circular contra sites desatualizados. Quem prefere começar pela auditoria pode usar o All in One Security no plano PRO e ver as faixas em FULL.services/planos. --- ---Sim, sem dominar a fórmula. Olhe três coisas antes da nota: existe patch disponível, o CVE é recente e o recurso afetado está ativo no seu site. Um CVE-2023-48777 de CVSS 9,9 no Elementor já corrigido na versão 3.18.2 tem risco atual zero. A nota base mede gravidade técnica; a decisão vem do cruzamento com o estado do patch.
Porque o CVSS 10,0 mede a gravidade técnica isolada da falha, não a situação do seu site. O CVE-2020-35489 do Contact Form 7 recebeu nota 10,0 por upload arbitrário, mas foi corrigido na versão 5.3.2. Se você está atualizado, o risco atual é zero. O perigo real aparece quando o CVE é recente e ainda não tem patch disponível.
Entender o que é CVSS no WordPress começa por separar os dois: o CVE é o identificador único da vulnerabilidade, como CVE-2023-48777; o CVSS é a nota de 0 a 10 anexada a esse CVE. Um descreve qual é a falha, o outro mede sua gravidade técnica. Ambos ficam publicados no NVD/NIST. No WordPress, você cruza esse par com a versão instalada do plugin para decidir se há risco atual ou apenas histórico.
Notas de 9,0 a 10,0 (crítico) e de 7,0 a 8,9 (alto) pedem ação rápida quando o CVE é recente e sem patch, porque costumam ser exploráveis sem autenticação. Mas a regra real não é só a faixa: um CVSS 6,5 sem patch e com exploit público é mais urgente que um 9,8 já corrigido. Priorize por patch disponível e exposição, não pela nota sozinha.
No momento em que você aplica a versão que corrige aquele CVE. A partir daí, a nota vira histórico: continua registrada no NVD, mas a brecha está fechada. Um plugin como o Wordfence, com risco atual seguro segundo o WPVulnerability, mostra isso. Por isso o downgrade por pânico é perigoso, pois reabre exatamente a falha que o patch havia eliminado.