WordPress CVE Validator

Framework nao-destrutivo de validacao de CVEs WordPress (core + plugins/temas).

O WordPress CVE Validator é um framework de validação NÃO-DESTRUTIVA que verifica, contra um alvo que você tem autorização para testar, se uma instalação WordPress está exposta a um conjunto de CVEs conhecidas — tanto do CORE quanto de PLUGINS e TEMAS populares. Teste uma vulnerabilidade específica ou rode a lista inteira de uma vez. ⚠️ USO AUTORIZADO Use somente contra sistemas para os quais você tem AUTORIZAÇÃO EXPLÍCITA POR ESCRITO. Verificar terceiros sem autorização pode ser ilegal. Todas as verificações são não-destrutivas: fazem apenas fingerprint de versão (readme.txt do plugin, style.css do tema, generator do core) ou um probe benigno que revela a exposição SEM enviar payload de exploração. Nada é criado, alterado, lido do banco ou executado no alvo. A confirmação ativa de exploração (SQLi real, upload, RCE, criação de admin) fica deliberadamente FORA desta extensão. O QUE ELA FAZ • Roda mais de 20 checks — um módulo por vulnerabilidade — cobrindo RCE, SQLi, upload de arquivos, escalonamento de privilégio, divulgação de informação e negação de serviço. • Cobre o core do WordPress e plugins/temas populares (Bricks, Backup Migration, WP File Manager (KEV), LiteSpeed Cache, Elementor, Ultimate Member, BookingPress, MStore API, WPCargo, Modern Events Calendar, Support Board, Really Simple Security, Royal Elementor Addons, LayerSlider, WP Automatic e mais). • Cada linha mostra um VEREDITO claro: VULNERÁVEL, EXPOSTO, provável, não vulnerável, ausente, inconclusivo ou inalcançável. • Clique em qualquer check para ver o TRACE completo: cada requisição, resposta, corpo enviado/recebido e as linhas de análise, além do resumo e das referências (NVD, Exploit-DB, WPScan). • Barra de filtros pós-análise: combine severidade (crítica/alta/média/baixa), veredito e busca livre por nome, CVE ou componente. O atalho "Só achados" mostra só o que exige atenção. COMO USAR 1. Clique no ícone da extensão — o validador abre em uma nova aba, já com a origem da aba ativa preenchida. 2. Ajuste a URL do alvo autorizado. 3. Clique em "Testar" numa linha para rodar só aquele check, ou "Rodar todos" para a lista inteira (o recon do core e cada readme.txt são reaproveitados). 4. Leia os vereditos e abra o trace de cada achado. PRIVACIDADE A extensão não coleta, não armazena e não transmite seus dados para nenhum servidor. As requisições vão apenas para o ALVO que você digitar, feitas a partir do service worker com credentials: "omit" (não envia os cookies do alvo). Não há login, telemetria nem código remoto, e nada é persistido: o estado vive na aba e é descartado ao fechá-la.