CVE-2025-10587: Jackdewey Community Events até 1.5.1 - SQL Injection
O plugin Community Events para WordPress apresenta uma falha de SQL Injection no parâmetro event_category em todas as versões até a 1.5.1, inclusive, segundo o registro. A descrição exige acesso de nível Subscriber ou superior, mas o título sugere que não há autenticação, então o nível de privilégio necessário não está claro nos dados disponíveis. A Wordfence registra pontuação CVSS 3.1 de 9.8, sem inclusão no catálogo KEV da CISA e sem exploração confirmada nas fontes consultadas.
Visão geral O plugin Community Events para WordPress, associado a Jackdewey, apresenta uma fraqueza de SQL Injection (CWE-89) no parâmetro event_category. O registro indica que ela afeta todas as versões até a 1.5.1, inclusive. A vulnerabilidade foi publicada pela Wordfence, como CNA, em 8 de outubro de 2025. ## Impacto Segundo a descrição, um atacante bem-sucedido poderia anexar consultas SQL a consultas existentes e extrair informações sensíveis do banco de dados do site. O registro atribui pontuação base CVSS 3.1 de 9.8 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade. O registro SSVC classifica o impacto técnico como total. ## Produtos e versões afetadas - Jackdewey Community Events, todas as versões até a 1.5.1, inclusive, segundo o registro. - O registro não lista versão corrigida, portanto a existência e a versão de uma correção são desconhecidas com base nestes dados. ## Status de exploração A CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O registro SSVC indica exploração como none e automatizável como yes, o que descreve a facilidade avaliada de automação e não confirma ataques. ## Correção e mitigação - Verifique a página do plugin no WordPress.org e o aviso da Wordfence em busca de versão posterior à 1.5.1 e atualize assim que uma correção for confirmada. - Se não houver versão corrigida, considere desativar ou remover o plugin até que uma correção do fornecedor seja verificada. - Revise as contas existentes no site, especialmente as de baixo privilégio, e remova as desnecessárias. - Limite a exposição dos endpoints públicos do plugin quando operacionalmente viável e mantenha o WordPress e os demais plugins atualizados. ## Orientações de detecção - Revise logs do servidor web e da aplicação em busca de valores incomuns no parâmetro event_category em páginas que usam o plugin. - Observe erros de banco de dados ou volume anormal de consultas associado às páginas do plugin. - Considere monitoramento por firewall de aplicação web para anomalias relacionadas a SQL nessas requisições, ajustado para evitar falsos positivos. ## Limitações das informações disponíveis - O título descreve a falha como sem autenticação, enquanto a descrição exige acesso de nível Subscriber ou superior. O vetor CVSS registra PR:N. O requisito exato de privilégio é desconhecido. - O registro não contém versão corrigida nem referência de correção. - O status de origem do registro consta como Deferred. - A data do EPSS no registro (2026-10-13) é posterior à data de publicação; os valores de EPSS devem ser interpretados com cautela.
Perguntas frequentes
Este CVE afeta o plugin Community Events no meu site WordPress?
O registro indica que todas as versões até a 1.5.1, inclusive, são afetadas. Verifique a versão instalada e atualize ou remova o plugin se ela estiver nesse intervalo.
Esta vulnerabilidade está sendo explorada ativamente?
A CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas. Continue monitorando em vez de presumir que o site está seguro.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.