Visão Geral

A CVE-2026-9055 é uma vulnerabilidade de Gerenciamento de Privilégios Impróprio (CWE-269) no plugin Booking for Appointments and Events Calendar – Amelia (Premium) para WordPress, afetando as versões 8.0 até 9.6.2. A falha decorre da validação insuficiente do parâmetro type controlado pelo atacante no endpoint de atualização de cliente, combinada com o tratamento não verificado do parâmetro externalId.

A Wordfence atribuiu a CVE e a publicou em 2 de setembro de 2026, com data de reserva em 20 de maio de 2026. Ela possui uma pontuação base CVSS v3.1 de 9.8 (Crítica):

Isso reflete uma falha explorável pela rede, de baixa complexidade, que não exige privilégios nem interação do usuário.

Versões Afetadas

• Amelia (Premium) 8.0 – 9.6.2

Verifique o changelog oficial do fornecedor para a versão corrigida, em vez de confiar apenas nos números de versão.

Análise Técnica (Causa Raiz)

A vulnerabilidade reside no tratamento da atribuição de função no endpoint REST de atualização de cliente. Em alto nível (sem etapas de exploração incluídas):

1. O endpoint confia em um valor type fornecido pelo atacante ao decidir qual função atribuir a um registro de cliente, em vez de derivar a função do estado de autorização no lado do servidor.
2. Quando o parâmetro externalId é definido como 0, o manipulador aciona a criação de um usuário WordPress com a função wpamelia-manager — uma função interna privilegiada usada pelo plugin.
3. Como a solicitação inicial não exige autenticação, um visitante anônimo pode obter uma conta de nível de gerente dessa forma.
4. A partir da função de gerente, uma validação de propriedade insuficiente semelhante reaparece no fluxo de atualização da entidade de provedor: um registro de provedor pode ser vinculado a um ID de usuário WordPress arbitrário, incluindo o de um administrador existente, e as credenciais desse usuário podem posteriormente ser sobrescritas.
5. O estado final é a tomada total da conta de administrador, alcançada puramente por falhas lógicas encadeadas — sem exigir corrupção de memória, upload de arquivo ou primitiva de injeção de código.

Isso espelha um padrão mais amplo observado em vários CVEs de plugins WordPress neste ciclo (por exemplo, CVE-2026-0844, CVE-2026-4021): parâmetros que definem privilégios ou funções aceitos da entrada do cliente sem revalidação contra o estado de autorização mantido no servidor.

Cadeia de Ataque (Generalizada)

Nenhum macro, preparação de payload ou infraestrutura C2 externa é necessária nesta fase — esta é uma cadeia pura de falha lógica confinada à superfície da API REST do WordPress.

Orientações de Detecção

Consulte detection/detection-guidance.md para o conjunto completo de regras. Resumo:

• Monitore os logs de acesso à API REST do WordPress para solicitações não autenticadas aos endpoints de atualização de cliente e provedor da Amelia (/wp-json/amelia/v1/...).
• Alerte sobre qualquer solicitação a esses endpoints que contenha um valor externalId=0 emparelhado com um campo type, especialmente de sessões sem autenticação prévia.
• Audite wp_usermeta / wp_capabilities para atribuição inesperada da função wpamelia-manager ou elevação para administrator fora da atividade administrativa conhecida.
• Sinalize eventos de redefinição ou sobrescrita de senha em contas de administrador que se correlacionem com alterações recentes na entidade de provedor da Amelia.
• Revise novas contas de administrador para correlação com carimbos de tempo de atividade do plugin Amelia.

Indicadores de Comprometimento

• Usuários WordPress inesperados com a função wpamelia-manager que os administradores não criaram.
• Entidades de provedor no banco de dados do plugin Amelia vinculadas a IDs de usuário administrador que não correspondem a mapeamentos legítimos de funcionário-provedor.
• Alterações de senha de administrador sem solicitação correspondente de redefinição de senha do proprietário da conta.
• Entradas de log da API REST atingindo endpoints da Amelia a partir de IPs sem sessão legítima prévia.

Mitigação

Consulte detection/mitigation-checklist.md para a lista de verificação completa. Resumo:

• Atualize o Amelia (Premium) para a versão corrigida assim que o fornecedor lançar uma (verifique o changelog após 9.6.2).
• Se a correção imediata não for possível, restrinja o acesso público aos endpoints REST do plugin por meio de uma regra de WAF que bloqueie chamadas não autenticadas às rotas de atualização de cliente/provedor.
• Audite agora todas as contas existentes wpamelia-manager e administrator — a CVE foi reservada em maio de 2026, portanto a exploração pode ser anterior à divulgação pública.
• Gire as credenciais de todas as contas de administrador como precaução em qualquer site que execute uma versão afetada.
• Considere correção virtual por meio de um WAF WordPress gerenciado enquanto aguarda uma correção oficial.

Referências

• references/sources.md — Aviso da Wordfence, entrada do OffSeq Threat Radar e links do changelog do fornecedor.

Aviso Legal

Este repositório é publicado apenas para fins defensivos e educacionais. Ele contém análise, lógica de detecção e orientações de mitigação derivadas de divulgações públicas de vulnerabilidades. Nenhum código de exploit funcional é fornecido. Use estas informações apenas em sistemas que você está autorizado a testar e defender.

Mantido pela Sentinel AI Defense · Descobertas compartilhadas de forma responsável sob divulgação coordenada.