WordPress RT-Theme 18 | Extensions plugin <= 2.5 - Vulnerabilidade de Cross Site Request Forgery (CSRF)

A exploração bem-sucedida desta vulnerabilidade CSRF permite que um atacante execute ações em nome de um usuário autenticado no sistema RT-Theme 18 | Extensions. Isso pode incluir a modificação de configurações, a criação de novos usuários ou a exclusão de dados, dependendo das permissões do usuário afetado. Um atacante pode, por exemplo, enviar um e-mail malicioso com um link que, quando clicado pelo usuário, executa uma ação não intencional no sistema, como alterar a senha do usuário ou desativar funcionalidades importantes. A extensão do impacto depende das permissões do usuário e da sensibilidade dos dados gerenciados pelo sistema.

Websites using the RT-Theme 18 | Extensions plugin, particularly those with user accounts and sensitive data, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise on one site could potentially affect others.

• wordpress / composer / npm:

grep -r 'stmcan RT-Theme 18 | Extensions' /var/www/html/
wp plugin list | grep rt18-extensions

• generic web:

curl -I https://your-wordpress-site.com/wp-content/plugins/rt18-extensions/ | grep -i 'rt18-extensions'

1. 2026-04-08Disclosure

   disclosure

1. Reservado2026-04-07
2. Publicada2026-04-08
3. Modificada2026-04-29
4. EPSS atualizado2026-04-15

A mitigação primária para esta vulnerabilidade é atualizar o RT-Theme 18 | Extensions para a versão 2.5.4 ou superior. Se a atualização imediata não for possível, considere implementar medidas de proteção CSRF adicionais, como a validação de tokens CSRF em todos os formulários e requisições críticas. Implementar uma política de segurança de conteúdo (CSP) pode ajudar a mitigar o risco, restringindo as fontes de onde o navegador pode carregar recursos. Monitore os logs do WordPress em busca de requisições suspeitas originadas de fontes externas.