CVE-2026-25377: eyecix Addon Jobsearch Chat - Injeção de SQL

Visão geral

A CVE-2026-25377 é uma fraqueza de injeção de SQL (CWE-89) no addon Jobsearch Chat (pacote addon-jobsearch-chat), publicado pela eyecix para WordPress. Segundo o registro, caracteres especiais usados em um comando SQL não são neutralizados adequadamente, o que pode permitir que entradas elaboradas alterem consultas ao banco de dados.

Impacto

O CNA (audit@patchstack.com) atribuiu pontuação base CVSS 3.1 de 9,3, com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L.
Pelo vetor, a falha é acessível pela rede, tem baixa complexidade de ataque, não exige privilégios nem interação do usuário, altera o escopo e tem alto impacto na confidencialidade, sem impacto na integridade e baixo impacto na disponibilidade.
As consequências práticas em cada instalação dependem da conta de banco de dados e dos dados expostos; o registro não detalha esses pontos.

Produtos e versões afetadas

A descrição indica que o problema afeta o Jobsearch Chat de n/a até 3.0 inclusive (<= 3.0).
A lista estruturada de produtos afetados do registro está vazia, portanto não há intervalos de versão legíveis por máquina.
Sites que usam este addon devem considerar potencialmente afetada qualquer versão dentro do intervalo indicado até que o fornecedor ou a Patchstack confirme o contrário.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto não há exploração ativa registrada ali.
Não há exploração confirmada no mundo real nas fontes consultadas para esta análise.
A probabilidade EPSS é 0,00283 (percentil 0,19274), uma estimativa estatística de probabilidade de exploração e não uma evidência de ataques.

Correção e mitigação

O registro não contém versão corrigida. Isso não significa que não exista correção; verifique o fornecedor do plugin e a entrada da Patchstack para uma versão atualizada.
Enquanto a correção não for confirmada, considere desativar o addon se ele não for essencial e restrinja o acesso às suas funções sempre que possível.
Aplique o princípio do menor privilégio à conta do banco de dados do WordPress, para limitar o alcance de um caminho de consulta comprometido.
Use um firewall de aplicação web ou filtragem equivalente na frente do site como controle compensatório, reconhecendo que ele reduz, mas não elimina, o risco.
Mantenha o WordPress, outros plugins e temas atualizados e consulte o aviso da Patchstack para detalhes específicos do fornecedor.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de valores incomuns ou malformados enviados às funções de chat e busca de vagas do addon.
Observe mensagens de erro de banco de dados exibidas nas respostas web, que podem indicar que entradas chegam às consultas SQL sem filtragem.
Monitore o banco de dados em busca de consultas ou padrões de acesso que não correspondam ao comportamento normal do plugin.
Verifique a versão instalada do addon em relação ao intervalo informado e mantenha um inventário dos plugins WordPress.

Limitações das informações disponíveis

O registro não possui título no campo estruturado e não traz lista de versões afetadas ou corrigidas.
A pontuação CVSS vem do CNA; não há entrada separada do NVD ou de outro provedor de pontuação no registro.
O registro indica status de origem Deferred, portanto os detalhes podem mudar durante o processamento da CVE.
A data EPSS no registro (2026-10-13) deve ser verificada na fonte antes de se basear no momento dessa pontuação.
As condições completas de exploração e o caminho exato do código vulnerável não são descritos nos dados disponíveis.

Perguntas frequentes

A CVE-2026-25377 está sendo explorada ativamente?

O catálogo KEV da CISA não a lista neste registro, e não há exploração confirmada no mundo real nas fontes consultadas.

Quais versões são afetadas?

A descrição indica versões de n/a até 3.0 inclusive. O registro não tem lista estruturada de afetados nem versão corrigida.

O que os administradores de sites devem fazer agora?

Verificar no fornecedor e na entrada da Patchstack se há atualização, considerar desativar o addon se ele não for essencial e limitar privilégios e exposição do banco de dados.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.