Um bug de segurança recentemente corrigido no plugin Gravity SMTP do WordPress, instalado em cerca de 100.000 sites, está sendo explorado por atores de ameaças. A vulnerabilidade, rastreada como CVE-2026-4020, é uma falha de divulgação de informações de gravidade média que permite que atacantes não autenticados extraiam dados sensíveis, como chaves de API e tokens OAuth.
Detalhes Técnicos
A vulnerabilidade afeta todas as versões do plugin Gravity SMTP até a versão 2.1.4.
Um endpoint de API REST registrado em /wp-json/gravitysmtp/v1/tests/mock-data permite acesso não autenticado.
Com o parâmetro ?page=gravitysmtp-settings, o endpoint retorna cerca de 365 KB de JSON contendo dados de configuração do sistema, incluindo versão do PHP, extensões carregadas, versão do servidor web e caminho do diretório raiz.
Recomendações
Atualize o plugin Gravity SMTP para uma versão corrigida.
Verifique se o plugin está configurado corretamente e se os dados sensíveis estão sendo protegidos.
Monitore os logs de segurança para detectar possíveis tentativas de exploração.
