CVE-2025-49915: Injeção de SQL no plugin WordPress SMS Alert Order Notifications (sms-alert) da Cozy Vision

Visão geral

Este registro descreve uma falha de injeção de SQL (CWE-89) no plugin WordPress SMS Alert Order Notifications (sms-alert), conforme documentado na entrada do banco de dados da Patchstack. O problema é registrado como afetando versões de n/a até 3.8.5.

Impacto

O vetor CVSS 3.1 fornecido pelo CNA indica ataque pela rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário exigidos, além de escopo alterado. O impacto na confidencialidade é classificado como alto, na integridade como nulo e na disponibilidade como baixo.

Uma injeção de SQL bem-sucedida poderia expor dados armazenados no banco de dados do site.
Os dados exatos acessíveis e a extensão de eventuais efeitos de escrita ou de disponibilidade não são descritos no registro.

Produtos e versões afetados

Produto: SMS Alert Order Notifications (sms-alert), plugin para WordPress.
Intervalo informado: de n/a até 3.8.5 (inclusive).
O registro não contém entradas estruturadas de versões afetadas ou corrigidas.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas para este registro.

Correção e mitigação

Identifique todos os sites WordPress que utilizam o plugin e confirme a versão instalada.
Verifique a entrada da Patchstack e o fornecedor do plugin em busca de uma versão corrigida, já que o registro não a informa.
Se ainda não houver uma versão corrigida verificada e o plugin não for essencial, considere desativá-lo.
Limite os privilégios da conta de banco de dados ao necessário e mantenha o WordPress e os demais plugins atualizados.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de valores de parâmetros incomuns ou erros repetidos nos endpoints usados pelo plugin.
Monitore os logs do banco de dados em busca de erros de consulta inesperados ou acessos atípicos feitos pela conta da aplicação web.
Quando houver um firewall de aplicação web, revise os alertas registrados por padrões de entrada suspeitos e ajuste as regras para reduzir falsos positivos.

Limitações das informações disponíveis

O registro não identifica uma versão corrigida, detalhes de correção do fornecedor nem o parâmetro vulnerável específico.
O limite inferior do intervalo afetado é informado apenas como n/a.
Os valores de EPSS são estimativas de modelo e não confirmam exploração.
O status do registro é Deferred, por isso os detalhes podem mudar à medida que as fontes forem atualizadas.

Perguntas frequentes

O que é a CVE-2025-49915?

É uma vulnerabilidade de injeção de SQL (CWE-89) no plugin WordPress SMS Alert Order Notifications (sms-alert), registrada como afetando versões de n/a até 3.8.5.

Qual é a gravidade segundo o registro?

O CNA Patchstack informa pontuação base CVSS 3.1 de 9.3, classificada como crítica, com vetor de ataque pela rede e sem necessidade de privilégios ou interação do usuário.

Há registro de exploração ativa?

O registro indica que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas para este registro.

O que os administradores devem fazer agora?

Confirmar se o plugin está instalado e em qual versão, verificar a entrada do fornecedor ou da Patchstack em busca de correção, considerar desativar o plugin se não for essencial e limitar privilégios do banco até que a correção seja verificada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.