PT-2026-36579 · WordPress · Ona Theme

Nguyen Truong · Publicado 2026-05-02 · Atualizado 2026-05-02 · CVE-2026-6812

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.4

Média

Vetor base

AV:N/AC:H/PR:H/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Ona theme for WordPress versões anteriores a 1.27

Descrição Ocorre Server-Side Request Forgery (SSRF) na função ona activate child theme(). Isso permite que atacantes autenticados com nível de acesso de administrador ou superior iniciem requisições web para locais arbitrários a partir da aplicação web, o que pode ser usado para consultar e modificar informações de serviços internos.

Recomendações Atualize para uma versão posterior a 1.26. Como medida paliativa temporária, restrinja o acesso à função ona activate child theme().

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-6812

Produtos afetados

Ona Theme

Referências · 10

• https://twitter.com/infoflowcloud/status/2050489596413153614 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-6812 · Nota de Segurança
• https://t.me/CVEtracker/52490 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/0acb365c-b5f2-4377-875b-69278a8ff96e?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/ona/trunk/inc/admin/theme-admin.php#L688 · Nota
• https://twitter.com/CVEnew/status/2050488253682430070 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/ona/tags/1.23.2/inc/admin/theme-admin.php#L688 · Nota
• https://twitter.com/VulmonFeeds/status/2050484265129853228 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/ona/tags/1.23.2/inc/admin/theme-admin.php#L694 · Nota
• https://plugins.trac.wordpress.org/browser/ona/trunk/inc/admin/theme-admin.php#L694 · Nota