Uma vulnerabilidade em um plugin do WordPress colocou cerca de 800 mil sites em risco ao permitir a leitura de arquivos sensíveis do servidor por usuários autenticados com privilégios mínimos.
A falha afeta o Smart Slider 3, um dos plugins mais populares para criação de sliders e elementos visuais na plataforma.
O problema foi registrado como CVE-2026-3098 e está ligado ao mecanismo de exportação do plugin.
Segundo a análise técnica, a função responsável por gerar pacotes com imagens e configurações não validava corretamente quais arquivos poderiam ser incluídos no processo.
Na prática, isso abria caminho para que um invasor autenticado explorasse o recurso para acessar arquivos críticos do ambiente, incluindo o wp-config.php, documento central do WordPress que armazena credenciais de banco de dados, chaves de segurança e outras informações estratégicas da instalação.
O risco se torna ainda maior em sites com registro aberto de usuários, onde uma conta simples de assinante pode ser suficiente para iniciar a exploração.
Nesse cenário, a vulnerabilidade deixa de ser um problema restrito à administração do site e passa a representar ameaça real para qualquer ambiente com múltiplos usuários autenticados.
Com acesso a arquivos desse tipo, o impacto pode ir muito além do vazamento de dados.
Um atacante pode usar as informações obtidas para avançar sobre o ambiente, elevar privilégios, comprometer a aplicação e, em alguns casos, assumir o controle completo do site ou do servidor associado.
A falha foi descoberta no contexto do programa Wordfence Bug Bounty e recebeu atenção rápida da comunidade de segurança.
Como medida emergencial, regras de proteção foram distribuídas por firewall antes mesmo da correção definitiva chegar a todos os usuários.
A desenvolvedora Nextend publicou a correção na versão 3.5.1.34 do Smart Slider 3.
