Seis falhas publicadas no tema OceanWP desde 2020, uma só de gravidade alta, e vinte no Ocean Extra, o plugin que o acompanha na maioria dos sites. Este dossiê separa claramente os dois, explica por que o plugin complementar pesa mais do que o tema no balanço e indica as versões mínimas a usar em 13 de junho de 2026.
O OceanWP em resumo
O OceanWP é um tema gratuito publicado no wordpress.org em junho de 2017 pela empresa OceanWP LLC. Versátil, compatível com Elementor, Gutenberg e WooCommerce, ele tem mais de 400.000 instalações ativas (wordpress.org). O seu modelo de negócio se apoia em plugins: um plugin gratuito, o Ocean Extra, também instalado em mais de 400.000 sites, e uma série de plugins oficiais, gratuitos ou pagos (compartilhamento social, janelas modais, compartilhamento de produtos, pacote de extensões premium).
Essa divisão importa. Um tema é sobretudo um conjunto de templates que exibem os conteúdos; as funções que recebem dados ficam mais no plugin complementar. O Ocean Extra, que "só funciona com o tema OceanWP" segundo a sua página, acrescenta modelos de cabeçalho e rodapé, configurações por página, a importação de demos, widgets, megamenus, shortcodes (trilha de navegação, usuário conectado, carrinho do WooCommerce) e a importação das configurações do Personalizador. Cada shortcode e cada widget é mais uma entrada a filtrar.
Essa popularidade faz do OceanWP um alvo homogêneo: uma mesma falha se repete de forma idêntica em centenas de milhares de sites enquanto eles não forem atualizados.
Cronologia das falhas de 2020 a junho de 2026
O tema OceanWP: seis falhas
A tabela reúne as falhas do tema publicadas de 1º de janeiro de 2020 a 13 de junho de 2026 segundo a Patchstack (o WPScan lista cinco, sem a de 2023), cruzadas com os registros CVE. A pontuação CVSS é a da autoridade que atribuiu o CVE. Nenhuma está documentada como explorada.
| Publicação | Corrigida na | Tipo | CVSS | CVE | Conta necessária |
|---|---|---|---|---|---|
| 27 de fevereiro de 2023 | 3.4.2 | Inclusão de arquivo local (painel do tema) | 7,6 (Patchstack) | CVE-2023-23700 | Assinante |
| 28 de março de 2024 | 3.5.5 | Autorização ausente, exposição de dados sensíveis | 4,3 | CVE-2024-2476 | Assinante |
| 18 de junho de 2025 | 4.1.0 | XSS armazenado (tag HTML Select) | 4,9 | CVE-2025-5524 | Colaborador |
| 2 de julho de 2025 | 3.6.1 | XSS armazenado pela biblioteca Magnific Popup | 6,4 | CVE-2024-5647 | Colaborador |
| 12 de agosto de 2025 | 4.1.2 (afetadas: de 4.0.9 a 4.1.1) | CSRF que leva à instalação do Ocean Extra | 4,3 | CVE-2025-8891 | Nenhuma (administrador enganado) |
| 15 de agosto de 2025 | 4.1.2 | Autorização ausente (opção do modo escuro) | 4,3 (WPScan) | CVE-2025-8944 | Assinante |
Ocean Extra, o plugin complementar: vinte falhas
O Ocean Extra é atualizado separadamente, em Plugins. O WPScan lhe atribui 20 falhas publicadas de 1º de janeiro de 2020 a 13 de junho de 2026 (a Patchstack conta 21, porque divide em dois um problema de 2022). Três vêm do SDK Freemius, uma biblioteca de licenças incluída em centenas de plugins: elas estão marcadas como "SDK".
| Publicação | Corrigida na | Tipo | CVSS | CVE | Conta necessária |
|---|---|---|---|---|---|
| 16 de setembro de 2020 | 1.6.6 | CSRF | 4,3 | CVE-2020-36760 | Nenhuma (administrador enganado) |
| 28 de fevereiro de 2022 | 1.9.4 | SDK: autorização ausente | 6,3 | CVE-2022-4974 | Conectado |
| 24 de maio de 2022 | 1.9.5 | XSS refletido | 6,1 (WPScan) | CVE-2021-25104 | Nenhuma (clique em um link) |
| 10 de outubro de 2022 | 2.0.5 | Injeção de objeto PHP (importação de estilos) | 5,5 (WPScan) | CVE-2022-3374 | Administrador |
| 2 de fevereiro de 2023 | 2.1.2 | XSS armazenado (shortcode de trilha de navegação) | 5,5 (Patchstack) | CVE-2023-23891 | Colaborador |
| 14 de fevereiro de 2023 | 2.1.3 | XSS armazenado (shortcode de busca) | 5,5 (Patchstack) | CVE-2023-24399 | Colaborador |
| 14 de fevereiro de 2023 | 2.1.3 | Leitura de conteúdos privados | 6,5 | CVE-2023-0749 | Assinante |
| 18 de julho de 2023 | 2.1.8 | SDK: XSS refletido | 6,1 (WPScan) | nenhum | Nenhuma (clique em um link) |
| 28 de novembro de 2023 | 2.2.3 | CSRF que leva à ativação de plugins | 5,4 (Patchstack) | CVE-2023-49164 | Nenhuma (administrador enganado) |
| 16 de fevereiro de 2024 | 2.2.5 | XSS armazenado (campos personalizados) | 6,4 | CVE-2024-1277 | Colaborador |
| 8 de abril de 2024 | 2.2.7 | XSS armazenado (widget de compartilhamento) | 6,4 | CVE-2024-3167 | Colaborador |
| 10 de junho de 2024 | 2.2.9 | XSS armazenado (widget Flickr) | 6,4 | CVE-2024-5531 | Colaborador |
| 4 de julho de 2024 | 2.3.0 | XSS armazenado | 6,5 (Patchstack) | CVE-2024-37489 | Colaborador |
| 21 de abril de 2025 | 2.4.7 | Execução de shortcodes arbitrários | 6,5 (9,8 segundo o NVD) | CVE-2025-3472 | Nenhuma |
| 21 de abril de 2025 | 2.4.7 | XSS armazenado (ocean_gallery_id) | 6,4 | CVE-2025-3458 | Colaborador |
| 21 de abril de 2025 | 2.4.7 | XSS armazenado (shortcode oceanwp_icon) | 6,4 | CVE-2025-3457 | Colaborador |
| 2 de junho de 2025 | 2.4.9 | XSS armazenado | 6,5 (Patchstack) | CVE-2025-49068 | Colaborador |
| 29 de agosto de 2025 | 2.5.0 | XSS armazenado (shortcode oceanwp_library) | 6,4 | CVE-2025-9499 | Colaborador |
| 7 de abril de 2026 | 2.5.4 | Controle de acesso falho | 5,4 (Patchstack) | CVE-2026-34903 | Assinante |
| 30 de abril de 2026 | 2.4.4 | SDK: XSS refletido baseado em DOM | 6,1 | CVE-2024-13362 | Nenhuma (clique em um link) |
As falhas marcantes explicadas
2023 e 2024: o painel do tema aberto aos assinantes
As duas falhas mais sérias do tema afetam o painel de administração do OceanWP, carregado por requisições AJAX. Em fevereiro de 2023, Rafie Muhammad (Patchstack) mostrou que um simples assinante podia fazer o site incluir arquivos locais do servidor (CVE-2023-23700, CVSS 7,6, a única falha alta do tema), o que pode expor arquivos sensíveis. Relatada em 15 de fevereiro, ela foi corrigida em 22 de fevereiro na 3.4.2 e publicada em 27 de fevereiro.
Um ano depois, Craig Smith constatou que a função load_theme_panel_pane não verificava as permissões: um assinante podia ler informações do sistema ou chaves de API gravadas nas configurações (CVE-2024-2476, CVSS 4,3). Relato da Wordfence em 18 de março de 2024, versão 3.5.5 em 27 de março, publicação em 28 de março.
2025: quatro falhas médias em dois meses
Os meses de junho a agosto de 2025 concentram o restante do histórico do tema. A CVE-2025-5524 é um XSS armazenado: um colaborador podia inserir JavaScript pelo script das listas suspensas, executado depois em cada visitante (veja o nosso artigo sobre as falhas XSS). Relatada por Asaf Mozes, ela foi corrigida na 4.1.0 em 17 de junho e publicada no dia seguinte.
A CVE-2024-5647 vem de outro lugar: do Magnific Popup 1.1.0, uma biblioteca JavaScript incluída em muitos temas e plugins. A Wordfence avisou os desenvolvedores já em junho de 2024 e só publicou o registro comum em 2 de julho de 2025; o OceanWP já tinha atualizado a biblioteca na 3.6.1, em 8 de outubro de 2024.
Em agosto, a versão 4.1.2 (11 de agosto de 2025) corrigiu duas falhas. Dmitrii Ignatyev (CleanTalk) relatou em 6 de agosto que a ação AJAX oceanwp_notice_button_click, ligada ao aviso que sugere instalar o Ocean Extra, não verificava nenhum token anti-CSRF: segundo o registro CVE-2025-8891, um administrador conectado que clica em um link armadilha pode instalar o Ocean Extra sem saber. E a CVE-2025-8944 (WPScan, Hamit Cibo) permitia a um assinante alterar a configuração do modo escuro.
Ocean Extra, abril de 2025: shortcodes executados sem conta
A falha mais notável do ecossistema é a CVE-2025-3472. Até a versão 2.4.6, uma ação do Ocean Extra passava um valor recebido para a função do_shortcode sem validá-lo: em um site com o WooCommerce ativo, um visitante não conectado podia fazer executar o shortcode de sua escolha. A gravidade depende dos shortcodes presentes no site. A Wordfence, autoridade do CVE, deu nota 6,5; a base NVD do NIST atribui 9,8. Relatada por Matthew Rollings, ela fazia parte de três relatórios da Wordfence de 11 de abril de 2025, todos corrigidos na 2.4.7 em 21 de abril, dia da publicação.
Ocean Extra: as outras famílias de falhas
- XSS armazenados: dez das vinte falhas. Um colaborador insere código em um atributo de shortcode ou de widget (trilha de navegação, ícone, galeria, Flickr, biblioteca de modelos), e esse código é executado em cada visitante, inclusive administradores.
- Leitura de conteúdos privados (CVE-2023-0749): o shortcode de modelos não verificava se o identificador pedido era realmente um modelo. Um assinante podia exibir qualquer conteúdo, rascunho, privado ou protegido por senha. Relatada por Erwan LR (WPScan), corrigida na 2.1.3 em 13 de fevereiro de 2023.
- CSRF: em 2023, Dave Jong (Patchstack) mostrou que um link armadilha podia fazer um administrador conectado ativar qualquer plugin instalado (CVE-2023-49164), corrigido na 2.2.3 na véspera da publicação.
- Injeção de objeto PHP (CVE-2022-3374): a importação de um arquivo de configurações do Personalizador desserializava o seu conteúdo. Era preciso que um administrador importasse um arquivo armadilha: o mecanismo é detalhado no nosso artigo sobre a injeção de objeto PHP.
- Controle de acesso (CVE-2026-34903): relatada em 27 de janeiro de 2026 por Nguyen Ba Khanh pela Patchstack, corrigida na versão 2.5.4 de 9 de março e publicada em 7 de abril de 2026. A Patchstack a considera de baixa prioridade.
Os outros plugins oficiais Ocean
Outro plugin oficial merece menção. No Ocean Modal Window (mais de 10.000 instalações ativas), as condições de exibição de uma janela modal, configuráveis por um editor, eram passadas para a função PHP eval: uma conta de editor bastava para executar código no servidor (CVE-2025-13307, CVSS 7,2 segundo o WPScan, pesquisador Alex Tselevich). Correção na 2.3.3 em 26 de novembro de 2025, publicação em 28 de novembro. O Ocean Social Sharing (mais de 60.000 instalações) teve um XSS armazenado por um colaborador (CVE-2025-7500, CVSS 6,4), corrigido na 2.2.2 em 22 de julho de 2025.
O que este histórico mostra
- O tema é pouco afetado, o plugin bem mais: seis falhas contra vinte no mesmo período. Julgar o OceanWP só pelo tema seria lisonjeiro demais: em um site real, os dois são instalados juntos.
- Os assinantes são um risco real: três falhas do tema e duas do Ocean Extra são exploráveis com uma simples conta de assinante. Em um site WooCommerce, cada cliente que cria uma conta é um deles.
- Correções rápidas: quando as datas são públicas, o desenvolvedor geralmente corrigiu menos de duas semanas depois de receber o relatório, e sempre antes ou no dia do anúncio público. O seu registro de alterações cita sistematicamente o relatório (Wordfence, Patchstack, WPScan, CleanTalk) e a sua data.
- O código de terceiros também conta: três falhas do Ocean Extra vêm do SDK Freemius, e uma do tema vem da biblioteca Magnific Popup. Atualizar o tema e o plugin também atualiza esses componentes incluídos.
Esse perfil não tem nada de excepcional: a cronologia das versões de segurança do núcleo do WordPress mostra que nenhum software escapa das correções. A diferença está no prazo entre a publicação de uma correção e a sua instalação.
Como se proteger
- Atualize o tema e o plugin separadamente: em 13 de junho de 2026, use no mínimo o OceanWP 4.1.2 e o Ocean Extra 2.5.4. O tema é atualizado em Aparência, o Ocean Extra em Plugins.
- Ative as atualizações automáticas do tema e do Ocean Extra; o nosso guia sobre as atualizações automáticas explica como limitar o risco de quebrar o site.
- Exclua os plugins Ocean sem uso (veja plugins abandonados e inúteis). Se você deixou o OceanWP, exclua também o Ocean Extra: ele só funciona com esse tema.
- Limite as contas: feche o cadastro público se ele não for usado e reserve as funções de colaborador e editor a quem precisa delas (funções e privilégio mínimo). Em uma loja, as contas de clientes são inevitáveis (veja proteger uma loja WooCommerce).
- Adicione um firewall de aplicação para cobrir o intervalo entre o anúncio de uma falha e a sua atualização (o nosso comparativo de firewalls para WordPress).
- Acompanhe os anúncios do tema e de cada plugin Ocean, como descrito no nosso método de monitoramento de vulnerabilidades.
O WP Masquerade Pro ajuda neste último ponto. Todos os dias, ele compara as versões instaladas dos seus plugins e temas com a base pública WPVulnerability.net e envia um alerta de vulnerabilidade por e-mail, com a gravidade e a versão corrigida. Na área de membros, o monitoramento dos seus sites reúne as atualizações pendentes e os sites vulneráveis. O WP Masquerade alerta: ele não corrige o tema nem o plugin e não é um firewall, a atualização continua sendo a ação decisiva. Para escolher um firewall, veja o nosso comparativo dos melhores plugins de segurança para WordPress.
Para lembrar
- O tema OceanWP tem 6 falhas publicadas de 2020 a 13 de junho de 2026, apenas uma de gravidade alta (inclusão de arquivo local, 2023).
- O seu plugin complementar Ocean Extra tem 20 no mesmo período, entre elas uma execução de shortcodes sem conta em abril de 2025.
- Nenhuma dessas falhas está documentada como explorada; quando as datas são conhecidas, a correção saiu antes ou no dia do anúncio.
- Versões mínimas: OceanWP 4.1.2 e Ocean Extra 2.5.4; limite as contas de assinante, colaborador e editor.
Fontes
- WordPress.org: tema OceanWP, página e instalações ativas (link externo, abre em uma nova aba)
- OceanWP: OceanWP Theme Changelog (registro de alterações do tema) (link externo, abre em uma nova aba)
- CVE.org: CVE-2024-2476, OceanWP 3.5.4 e anteriores (29 de março de 2024) (link externo, abre em uma nova aba)
- CVE.org: CVE-2025-5524, OceanWP 4.0.9 e anteriores (19 de junho de 2025) (link externo, abre em uma nova aba)
Outras fontes consultadas: outros registros CVE, páginas oficiais dos fornecedores, publicações de pesquisadores de segurança, bancos de dados WPScan e Patchstack.
Atualização de 28 de outubro de 2026: em 14 de outubro de 2026, o Wordfence divulgou a CVE-2026-86803 no plugin Ocean Extra até a 2.6.0: um visitante sem conta podia fazer executar shortcodes. A correção 2.6.1 estava disponível desde 10 de setembro. Todos os detalhes: Falha sem conta no Ocean Extra: a correção 2.6.1 veio antes do alerta.
