CVE-2026-22337: Escalonamento de Privilégios no Directorist Social Login (plugin WordPress) por Atribuição Incorreta de Privilégios

Visão geral

Este registro descreve uma falha de atribuição incorreta de privilégios (CWE-266) no plugin Directorist Social Login para WordPress. A descrição indica que ela permite escalonamento de privilégios. O CNA Patchstack atribuiu pontuação base CVSS 3.1 de 9,8, com vetor que descreve ataque pela rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário.

Impacto

Segundo a descrição, um atacante pode obter privilégios superiores aos previstos em um site afetado.
O vetor CVSS indica alto impacto na confidencialidade, integridade e disponibilidade, com escopo não alterado.
Como o vetor não exige privilégios nem interação do usuário, a pontuação sugere que a exposição pode alcançar usuários não autenticados em sites acessíveis pela internet. Trata-se de uma inferência a partir do vetor.

Produtos e versões afetadas

Produto: Directorist Social Login, plugin para WordPress associado ao fornecedor Directorist.
A descrição informa a faixa afetada como de n/a antes da 2.1.4, ou seja, versões anteriores à 2.1.4 são apontadas como afetadas.
O registro não contém listas estruturadas de versões afetadas ou corrigidas.

Status de exploração

O registro mostra que esta CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. Não há exploração ativa confirmada nas fontes consultadas para esta análise.

Correção e mitigação

Atualize o Directorist Social Login para a versão 2.1.4 ou superior, conforme indicado na descrição.
Se a atualização não puder ser aplicada de imediato, revise quais contas e papéis podem ser criados ou alterados pelo login social e restrinja novos cadastros quando possível.
Consulte a entrada do banco de dados da Patchstack indicada nas referências para contexto adicional específico do fornecedor.
Mantenha o núcleo do WordPress e todos os plugins atualizados e revise contas de administrador em busca de alterações inesperadas.

Orientações de detecção

Revise criações recentes de usuários e mudanças de papel, especialmente contas que receberam perfis administrativos ou elevados sem ação esperada de um administrador.
Verifique logs de autenticação e do servidor web em busca de retornos incomuns do login social ou atividade de vinculação de contas.
Faça o inventário da versão do plugin instalada em cada site WordPress e identifique instalações abaixo da 2.1.4.

Limitações das informações disponíveis

O limite inferior da faixa afetada está registrado como n/a, portanto a versão afetada mais antiga é desconhecida.
O registro não descreve o mecanismo técnico além da classificação CWE, e não há detalhes de correção fornecidos pelo fornecedor.
Os valores de EPSS do registro são apresentados como informados; a data associada não esclarece a análise e deve ser interpretada com cautela.
Não há dados estruturados de CPE, versões afetadas ou corrigidas no registro.

Perguntas frequentes

O que é a CVE-2026-22337?

É uma vulnerabilidade de atribuição incorreta de privilégios (CWE-266) no plugin WordPress Directorist Social Login que, segundo o registro, permite escalonamento de privilégios.

Quais versões são afetadas?

O registro descreve a faixa afetada como de n/a antes da 2.1.4, portanto versões anteriores à 2.1.4 são apontadas como afetadas. O limite inferior exato não é informado.

Esta vulnerabilidade está sendo explorada?

O registro não inclui esta CVE no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.