CVE-2026-22336: Plugin Directorist Booking para WordPress antes de 3.0.2: injeção de SQL

Visão geral

A CVE-2026-22336 descreve uma fraqueza de injeção de SQL, classificada como CWE-89, no plugin Directorist Booking para WordPress. De acordo com o registro, a faixa afetada são as versões anteriores à 3.0.2. A entrada foi publicada pela Patchstack como CNA e está registrada no banco de dados de vulnerabilidades da Patchstack.

Impacto

A injeção de SQL pode permitir que entradas alterem consultas ao banco de dados, o que pode expor ou modificar dados armazenados pelo site.
O vetor CVSS 3.1 do registro (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L) descreve uma falha acessível pela rede, de baixa complexidade, sem necessidade de privilégios nem de interação do usuário, com escopo alterado, alto impacto na confidencialidade, sem impacto na integridade e baixo impacto na disponibilidade.
O registro também classifica o impacto técnico como parcial e indica que o problema é automatizável no SSVC.

Produtos e versões afetadas

Produto listado no registro: Directorist Booking (Directorist Booking).
Faixa afetada no registro: versões anteriores à 3.0.2.
O registro não traz campo de versão corrigida, portanto o limite da correção deve ser confirmado com o fornecedor ou com a entrada da Patchstack.

Status de exploração

O registro indica kev.listed como falso, ou seja, esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA nos dados reunidos.
Não há exploração confirmada nas fontes consultadas.
A exploração no SSVC está registrada como none. A probabilidade EPSS da FIRST é 0,00283, com percentil de 0,19273, conforme registrado.

Correção e mitigação

Atualize o plugin Directorist Booking para a versão 3.0.2 ou posterior, que é o limite indicado pela faixa afetada.
Se a atualização imediata não for possível, desative o plugin onde ele não for essencial e restrinja o acesso às funções administrativas e de reservas.
Aplique o princípio do menor privilégio à conta de banco de dados usada pelo WordPress e mantenha o núcleo e os demais plugins atualizados.
Considere regras de firewall de aplicação web do seu provedor como controle compensatório temporário, sem substituir a correção.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de parâmetros incomuns ou erros repetidos nas páginas relacionadas a reservas.
Observe erros inesperados de banco de dados, alterações não explicadas em registros de reservas ou usuários e novas contas administrativas.
Compare as versões do plugin instaladas em todo o parque com o limite 3.0.2 para identificar ativos que ainda precisam de atualização.

Limitações das informações disponíveis

O registro não identifica o parâmetro vulnerável, o endpoint nem os pré-requisitos de exploração além do vetor CVSS.
Nenhuma versão corrigida consta no campo de correções; a versão 3.0.2 é inferida a partir da faixa afetada.
Duas entradas de CVSS com a mesma pontuação são atribuídas a rótulos de provedores diferentes; isso não altera a pontuação.
A data EPSS do registro (2026-10-13) é posterior à data de publicação (2026-04-27), por isso deve ser verificada na fonte.

Perguntas frequentes

A CVE-2026-22336 consta no catálogo KEV da CISA?

Não. O registro indica kev.listed como falso, portanto a CVE não consta no catálogo Known Exploited Vulnerabilities da CISA nos dados reunidos.

Para qual versão devo atualizar?

A faixa afetada no registro são as versões anteriores à 3.0.2, então 3.0.2 é o limite. O registro não traz campo próprio de versão corrigida, por isso confirme os detalhes com o fornecedor ou com a entrada da Patchstack.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.