CVE-2026-25340: Tema WordPress Jobmonster - SQL Injection (anterior à 4.8.4)

Visão geral

A CVE-2026-25340 descreve uma neutralização imprópria de elementos especiais usados em um comando SQL no tema NooTheme Jobmonster (noo-jobmonster) para WordPress. A falha permite blind SQL injection, ou seja, um atacante pode influenciar consultas ao banco de dados sem receber os resultados diretamente. O CNA é a Patchstack e a classificação CWE é CWE-89.

Impacto

A Patchstack atribui nota base CVSS 9,3, com severidade crítica, usando o vetor informado pela própria Patchstack.
O registro SSVC indica impacto técnico parcial, exploração como none e que o problema é automatizável.
Uma blind SQL injection pode, em geral, expor ou alterar dados armazenados no banco de dados usado pelo site. Quais dados são alcançáveis neste tema não é descrito no registro.

Produtos e versões afetadas

Produto: NooTheme Jobmonster (noo-jobmonster), um tema para WordPress.
A entrada de versões afetadas no registro lê-se como até a 4.8.4 inclusive, enquanto a descrição e o título dizem anterior à 4.8.4. O registro é internamente inconsistente quanto ao limite.
O limite inferior aparece como n/a, portanto a versão afetada mais antiga é desconhecida.
Recomenda-se tratar instalações anteriores à 4.8.4 como potencialmente afetadas e verificar a versão instalada diretamente.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto as fontes consultadas não afirmam exploração ativa confirmada.
Há valores EPSS (probabilidade 0,00294, percentil 0,20881), mas são escores preditivos e não evidência de exploração.

Remediação e mitigação

Atualize o tema Jobmonster para a versão 4.8.4 ou posterior, obtida do fornecedor ou de fonte confiável. O registro não lista explicitamente uma versão corrigida; 4.8.4 é o limite indicado no título e na descrição.
Se a atualização não puder ser aplicada de imediato, restrinja o acesso ao site quando possível, revise a exposição do tema e considere um firewall de aplicação web como controle compensatório temporário.
Mantenha o núcleo do WordPress, plugins e outros temas atualizados, e remova temas não utilizados.

Orientações de detecção

Faça o inventário dos sites WordPress que usam o tema noo-jobmonster e registre as versões instaladas.
Revise os logs do servidor web e da aplicação em busca de parâmetros incomuns ou malformados enviados às funções de listagem e busca de vagas, além de erros de banco de dados ou tempos de resposta fora do padrão.
Verifique se as contas de banco de dados usadas pelo site seguem o princípio do menor privilégio, para limitar o impacto de uma eventual injeção bem-sucedida.

Limitações das informações disponíveis

O registro não descreve o parâmetro vulnerável, o caminho de código exato nem os requisitos de autenticação.
O registro não inclui um escore CVSS do NVD; a nota exibida vem dos dados do CNA.
O limite de versões afetadas é inconsistente dentro do registro.
Não havia texto de aviso do fornecedor além da entrada da base de dados da Patchstack.

Perguntas frequentes

Quais versões do tema Jobmonster são afetadas pela CVE-2026-25340?

O título e a descrição indicam versões anteriores à 4.8.4. A entrada de versões afetadas do registro está redigida de outra forma, então o limite é inconsistente nos dados de origem. A versão afetada mais antiga não é informada.

A CVE-2026-25340 é explorada ativamente?

O catálogo KEV da CISA não lista esta CVE no registro, e as fontes consultadas não mostram exploração confirmada.

O que os responsáveis pelos sites devem fazer agora?

Verifique se o tema noo-jobmonster está instalado, confirme a versão e atualize para a 4.8.4 ou posterior a partir de fonte confiável. Se a atualização atrasar, considere controles compensatórios temporários e revise os logs.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.