TL;DR: Mais de 40% das vulnerabilidades ativas em plugins WordPress são XSS. Plugins desatualizados com CVE publicado são explorados automaticamente em até 72h. A defesa prática começa por saber o que está instalado e quais têm CVE ativo — o FULL Scan faz esse diagnóstico gratuitamente.

Vulnerabilidade em plugin WordPress é uma falha de segurança documentada no código do plugin que permite a um atacante executar ação não autorizada no site. Quando essa falha recebe um número CVE e é publicada oficialmente, o relógio começa a correr.

Como funciona uma vulnerabilidade em plugin WordPress

Cada vulnerabilidade documentada recebe um identificador CVE e uma pontuação CVSS de 0 a 10. Acima de 9.0 é Critical, entre 7.0 e 8.9 é High, entre 4.0 e 6.9 é Medium.

XSS — Cross Site Scripting

XSS permite que um atacante injete scripts JavaScript maliciosos em páginas do site. O script é executado no navegador dos visitantes — não no servidor. No repositório FULL Scan, XSS representa mais de 40% dos CVEs ativos em plugins WordPress em maio de 2026.

XSS é frequentemente subestimado porque “não derruba o site”. O impacto real é roubo de sessão de administrador, redirecionamento de visitantes e injeção de conteúdo malicioso em páginas.

SQL Injection

SQL Injection ocorre quando um campo de entrada não sanitiza o input antes de enviar para o banco de dados. Um atacante pode extrair dados do banco, alterar conteúdo ou executar comandos no servidor.

Acesso não autenticado (CVSS crítico)

CVEs classificados como Critical (CVSS >= 9.0) quase sempre envolvem execução de ação sem autenticação — o atacante não precisa de login para explorar a falha. A janela de exploração é de horas após a publicação.

A janela de exploração: por que 72h importam

A relação causal documentada na base FULL: plugin desatualizado com CVE de CVSS >= 7.0 + site sem WAF de servidor + WordPress em versão sem patch = comprometimento por varredura automatizada em menos de 72h após publicação do CVE.

Os logs de acesso de sites comprometidos atendidos no suporte FULL mostram picos de requisições nos endpoints vulneráveis horas após a publicação do CVE correspondente. A exploração é automatizada — bots fazem varredura global procurando instalações com o plugin na versão vulnerável.

A FULL é uma CVE Numbering Authority (CNA) credenciada pela CISA/DHS. A gente descobre e documenta vulnerabilidades em plugins WordPress antes da divulgação pública — e notifica os desenvolvedores para que o patch exista antes que o CVE seja público.

Consulte o repositório de vulnerabilidades WordPress da FULL — +12.000 CVEs catalogados com dados oficiais da CISA, atualizados continuamente.

Como verificar se seus plugins têm CVE ativo

O FULL Scan faz esse diagnóstico sem instalar nada no servidor: você informa a URL do site, o scanner identifica os plugins instalados e cruza com a base de +12.000 CVEs. O relatório mostra quais plugins têm vulnerabilidade ativa, a classificação CVSS e a orientação de correção.

O processo de correção quando um CVE é identificado:

1. Verificar se existe versão do plugin com o CVE corrigido
2. Atualizar imediatamente para a versão segura
3. Se não existe versão corrigida: desativar e desinstalar o plugin
4. Se o plugin é crítico para o site: avaliar alternativa auditada
5. Rodar scan novamente para confirmar que o CVE foi fechado

Para quem quer monitorar múltiplos sites continuamente, os planos Advanced e PRO da FULL incluem monitoramento de CVEs na base gerenciada — R$849/ano para o plano PRO, equivalente a R$85/site para agências com 10 projetos.

FAQ

Conclusão

Vulnerabilidades em plugins WordPress são o vetor de ataque mais documentado e mais subestimado ao mesmo tempo. A proteção começa por saber o que está instalado e quais versões têm CVE ativo.

Escaneie seu site agora com o FULL Scan — sem instalação, só com a URL. Para consultar vulnerabilidades específicas por plugin, o repositório de vulnerabilidades WordPress tem +12.000 CVEs com dados oficiais da CISA.

Para aprender mais sobre segurança WordPress, o Guia de Segurança para WordPress cobre o tema completo. E o FULL Academy tem todo o conteúdo organizado em um só lugar.