CVE-2026-105889: Plugin Tickera para WordPress: Injeção de SQL
A CVE-2026-105889 é uma falha de injeção de SQL (CWE-89) no plugin de venda de ingressos Tickera para WordPress, nas versões até 3.6.0.6 inclusive, que permite injeção de SQL cega. A Patchstack atribuiu nota 9.3 (crítica) pelo CVSS 3.1, com vetor de rede e sem necessidade de privilégios. O registro não informa versão corrigida e não há exploração confirmada no catálogo KEV da CISA.
Visão geral
A CVE-2026-105889 descreve uma vulnerabilidade de injeção de SQL (CWE-89) no plugin de ingressos e eventos Tickera para WordPress. Segundo o registro, a falha permite injeção de SQL cega, situação em que o atacante pode deduzir conteúdo do banco de dados pelo comportamento da aplicação, sem ver diretamente o resultado das consultas.
Impacto
A Patchstack atribuiu nota 9.3 pelo CVSS 3.1, com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L. Esse vetor descreve uma falha acessível pela rede, de baixa complexidade, que não exige privilégios nem interação do usuário, com alto impacto na confidencialidade, impacto baixo na disponibilidade e sem impacto na integridade. O escopo é indicado como alterado.
- Confidencialidade: classificada como alta no vetor.
- Integridade: classificada como nenhuma no vetor.
- Disponibilidade: classificada como baixa no vetor.
Produtos e versões afetados
O registro indica o Tickera (Tickera tickera-event-ticketing-system) nas versões até 3.6.0.6 inclusive. O limite inferior está registrado como n/a, portanto o início da faixa afetada é desconhecido.
Status de exploração
O catálogo KEV da CISA não lista esta CVE, e as fontes consultadas não mostram exploração confirmada na natureza. A probabilidade de exploração pelo EPSS é 0.00255 (percentil 0.15835) em 2026-10-13. O registro SSVC indica exploração como none e marca a falha como automatizável.
Correção e mitigação
O registro não informa versão corrigida. Administradores devem verificar com o fornecedor e na entrada da Patchstack se há atualização oficial, tratando os sites afetados como em risco até que uma correção seja confirmada.
- Inventariar os sites WordPress que usam o Tickera e confirmar a versão instalada.
- Se não houver correção, considerar desativar o plugin até que o fornecedor confirme uma atualização.
- Restringir o acesso a endpoints administrativos e públicos sempre que possível, usando um firewall de aplicação web como controle compensatório.
- Limitar a conta de banco de dados usada pelo WordPress aos privilégios estritamente necessários.
- Manter backups testados e disponíveis.
Orientações de detecção
- Revisar logs do servidor web e da aplicação em busca de parâmetros incomuns ou requisições repetidas a endpoints de ingressos.
- Observar erros de banco de dados, atrasos inesperados em consultas ou tempos de resposta anormais, que podem indicar tentativas de injeção cega.
- Monitorar alterações inesperadas em dados de ingressos, pedidos ou usuários.
Limitações das informações disponíveis
O registro não informa o início da faixa afetada, uma versão corrigida nem o texto do aviso do fornecedor. A entrada da base de dados do fornecedor está em Patchstack e o registro no NVD. O status de exploração reflete apenas as fontes consultadas e pode mudar.
Perguntas frequentes
Esta vulnerabilidade do Tickera está sendo explorada?
O catálogo KEV da CISA não lista a CVE-2026-105889, e as fontes consultadas não mostram exploração confirmada na natureza. A probabilidade EPSS é baixa, de 0.00255.
Quais versões do Tickera são afetadas?
O registro indica versões do Tickera até 3.6.0.6 inclusive. O início da faixa afetada está registrado como n/a, ou seja, não foi informado.
Existe versão corrigida?
O registro não informa versão corrigida. Verifique com o fornecedor e na entrada da Patchstack se há atualização oficial antes de definir a estratégia de correção.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.