CVE-2026-27044: Vulnerabilidade de Injeção de Código no Total Poll Lite da TotalSuite

Visão geral

A CVE-2026-27044 é uma fragilidade de injeção de código (CWE-94) no plugin Total Poll Lite (totalpoll-lite), da TotalSuite. A descrição do CNA afirma que ela permite inclusão remota de código e indica versões até a 4.12.0 como afetadas.

Impacto

O registro atribui pontuação base CVSS 3.1 de 9.9 (crítica), fornecida pela Patchstack.
O vetor AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H indica acesso pela rede, baixa complexidade, privilégios baixos exigidos, nenhuma interação do usuário, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade.
A inclusão remota de código pode permitir que um agente malicioso influencie o código executado pela aplicação afetada, o que torna as consequências potencialmente graves.

Produtos e versões afetadas

Produto: TotalSuite Total Poll Lite (totalpoll-lite).
Faixa afetada conforme o registro: de n/a até a versão 4.12.0, inclusive. O limite inferior não é especificado.
O registro não traz entradas estruturadas de versões afetadas ou corrigidas.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro analisado.
Não há exploração confirmada nas fontes consultadas.
O valor EPSS do registro (probabilidade 0.00518, percentil 0.42451) é uma estimativa estatística e não é evidência de exploração.

Correção e mitigação

Faça um inventário de todas as instalações do Total Poll Lite e registre suas versões.
Consulte o aviso da Patchstack para orientações atualizadas, pois o registro não informa uma versão corrigida.
Quando possível, desative ou remova o plugin até que uma versão corrigida confirmada pelo fornecedor seja verificada.
Restrinja o acesso administrativo e de escrita à aplicação web e mantenha o núcleo do CMS e os demais plugins atualizados.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições inesperadas direcionadas ao plugin.
Observe arquivos inesperados ou alterações nos diretórios do plugin e de uploads.
Monitore conexões de saída incomuns dos servidores web, que podem indicar carregamento de conteúdo externo.

Limitações das informações disponíveis

O registro não informa o limite inferior da faixa afetada, uma versão corrigida nem detalhes técnicos do componente vulnerável.
O CVSS fornecido pelo CNA é a única pontuação listada; não há pontuação do NVD no registro.
A data do EPSS no registro é posterior à data de publicação e deve ser verificada na fonte FIRST.

Perguntas frequentes

O que é a CVE-2026-27044?

É uma vulnerabilidade de injeção de código (CWE-94) no plugin Total Poll Lite da TotalSuite, que o CNA descreve como permissiva de inclusão remota de código.

Quais versões são afetadas?

O registro informa versões de n/a até a 4.12.0, inclusive. O limite inferior não é especificado e nenhuma versão corrigida é listada.

Há exploração conhecida desta vulnerabilidade?

O registro não a lista no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

O que os administradores devem fazer agora?

Fazer inventário das instalações, consultar o aviso da Patchstack, considerar a desativação do plugin até haver correção verificada e monitorar os logs em busca de atividade incomum.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.