CVE-2026-25371: King-Theme Lumise Product Designer para WordPress: injeção de SQL cega sem autenticação

Visão geral

A CVE-2026-25371 trata de uma falha de injeção de SQL (CWE-89) no plugin Lumise Product Designer para WordPress, desenvolvido pela King-Theme. Segundo a CNA, a Patchstack, a vulnerabilidade permite injeção de SQL cega: o atacante consegue deduzir o conteúdo do banco de dados a partir do comportamento da aplicação, mesmo sem ver diretamente o resultado das consultas. O registro foi publicado em 2026-03-25 e consta no NVD com status "Deferred".

Impacto

A Patchstack atribuiu nota CVSS 9.3 (crítica), com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L. Na prática:

A exploração ocorre pela rede, com baixa complexidade, sem privilégios e sem interação do usuário.
Escopo alterado: o impacto pode ir além do próprio plugin, alcançando, por exemplo, o banco de dados compartilhado do WordPress.
Alto impacto à confidencialidade: dados armazenados (registros de usuários, hashes de senha, pedidos ou dados de clientes) podem ser lidos.
Não há impacto à integridade e o impacto à disponibilidade é baixo.

A avaliação SSVC da CISA ADP considera a falha automatizável, com impacto técnico parcial.

Produtos e versões afetados

King-Theme Lumise Product Designer (slug do plugin: "lumise").

O registro apresenta uma inconsistência no limite de versões: a descrição e o título indicam versões < 2.0.9, enquanto os dados estruturados listam ≤ 2.0.9. Recomenda-se tratar a própria 2.0.9 com cautela até que o fornecedor ou a Patchstack esclareça.

Status de exploração

A vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA, e o valor SSVC de exploração é "none". As fontes consultadas não confirmam exploração. Não há pontuação EPSS disponível. Por ser uma falha sem autenticação e automatizável, o risco de varreduras oportunistas contra sites WordPress deve ser levado a sério.

Correção e mitigação

Atualize o Lumise Product Designer para a versão mais recente publicada pela King-Theme; o registro não informa uma versão corrigida confirmada, então verifique a situação no aviso da Patchstack.
Se não for possível atualizar rapidamente, considere desativar o plugin em sites expostos.
Utilize WAF ou regras de patch virtual que bloqueiem padrões de injeção de SQL direcionados aos endpoints do plugin.
Garanta que a conta de banco de dados do WordPress siga o princípio do menor privilégio e que os backups estejam atualizados.
Em caso de suspeita de comprometimento, troque senhas de administradores, chaves de API e credenciais do banco.

Orientações de detecção

Faça o inventário das instalações WordPress que usam o plugin "lumise" e registre a versão instalada.
Revise logs do servidor web e do WAF em busca de requisições incomuns aos endpoints do Lumise, sobretudo com sintaxe SQL, padrões de atraso de tempo ou respostas anormalmente lentas, típicos de sondagem de injeção cega.
Monitore logs do banco de dados para consultas anômalas ou lentas originadas pela aplicação.
Verifique a criação inesperada de contas administrativas ou alterações em dados de usuários.

Limitações das informações disponíveis

O registro não lista explicitamente uma versão corrigida, e a faixa afetada aparece de forma inconsistente (< 2.0.9 versus ≤ 2.0.9).
O parâmetro ou endpoint vulnerável não é divulgado.
Não há dados EPSS, e o NVD ainda não fez análise própria (status "Deferred").
A única pontuação disponível vem da Patchstack.

Perguntas frequentes

Qual plugin é afetado pela CVE-2026-25371?

O plugin Lumise Product Designer, da King-Theme, para WordPress (slug "lumise"). A descrição indica versões < 2.0.9, enquanto os dados estruturados listam ≤ 2.0.9.

O atacante precisa estar autenticado?

Não. O vetor CVSS indica ausência de privilégios e de interação do usuário, com acesso pela rede e baixa complexidade.

A vulnerabilidade está sendo explorada ativamente?

As fontes consultadas não confirmam exploração. A falha não está no catálogo KEV da CISA e o valor SSVC de exploração é "none".

O que os administradores devem fazer?

Atualizar o plugin para a versão mais recente do fornecedor e confirmar a correção no aviso da Patchstack; se não for possível, desativar o plugin ou aplicar patch virtual via WAF.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.