CVE-2026-31920: Injeção de SQL no Product Rearrange for WooCommerce
A CVE-2026-31920 é uma falha de injeção de SQL (CWE-89) no plugin Product Rearrange for WooCommerce, da Devteam HaywoodTech, descrita como capaz de permitir injeção de SQL cega. O registro indica versões até a 1.2.2 inclusive e atribui pontuação CVSS 3.1 de 9.3, classificada como crítica, pelo CNA. As fontes consultadas não informam versão corrigida, exploração confirmada nem inclusão no catálogo KEV.
Visão geral
A CVE-2026-31920 trata de uma fraqueza de injeção de SQL (CWE-89) no Product Rearrange for WooCommerce, plugin da Devteam HaywoodTech. O registro descreve a falha como capaz de permitir injeção de SQL cega, e a URL de referência indica que o produto é um plugin para WordPress.
Impacto
- A injeção de SQL cega pode permitir que um atacante influencie consultas ao banco de dados e deduza dados armazenados pela aplicação.
- O vetor CVSS do registro indica acesso pela rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário, com escopo alterado.
- O registro atribui impacto alto na confidencialidade, nenhum na integridade e baixo na disponibilidade.
Produtos e versões afetadas
- Produto: Product Rearrange for WooCommerce (identificador products-rearrange-woocommerce), da Devteam HaywoodTech.
- Intervalo informado no registro: de n/a até a 1.2.2 inclusive.
- Os campos estruturados de produtos afetados e correções estão vazios, portanto o intervalo vem somente do texto da descrição.
Status de exploração
O registro não indica inclusão desta CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS informada é 0.004, com percentil de 0.32423. Esses valores são uma estimativa estatística e não confirmam ataques reais.
Correção e mitigação
- Identifique todos os sites que usam o Product Rearrange for WooCommerce e verifique se a versão instalada é a 1.2.2 ou anterior.
- O registro não informa versão corrigida. Consulte o fornecedor ou a entrada da Patchstack para verificar atualizações e aplique-as assim que estiverem disponíveis.
- Se ainda não houver atualização, considere desativar ou remover o plugin até que uma versão corrigida seja confirmada, avaliando antes se ele é necessário.
- Mantenha o WordPress, o WooCommerce e os demais plugins atualizados e limite os privilégios das contas de banco de dados ao necessário.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de parâmetros incomuns ou requisições repetidas aos endpoints do plugin, principalmente com variações de tempo de resposta ou erros.
- Monitore os logs do banco de dados em busca de padrões de consulta inesperados originados da aplicação web.
- Compare os arquivos e as versões instalados com o inventário de ativos para localizar cópias desatualizadas.
Limitações das informações disponíveis
- O registro não contém versão corrigida, referência de correção além da entrada da Patchstack nem aviso do fornecedor.
- O limite inferior do intervalo afetado está como n/a, portanto a primeira versão vulnerável é desconhecida.
- O status da fonte no registro é Deferred, de modo que a análise da NVD ainda pode mudar.
- A data EPSS do registro (2026-10-13) é posterior à data de publicação, por isso deve ser verificada antes de ser usada.
Perguntas frequentes
Quais versões do Product Rearrange for WooCommerce são afetadas pela CVE-2026-31920?
O registro indica o intervalo de n/a até a 1.2.2 inclusive. O campo estruturado de versões afetadas está vazio, por isso confirme o intervalo exato com o fornecedor ou com a Patchstack.
A CVE-2026-31920 é conhecida por ser explorada?
O registro não a inclui no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O valor EPSS informado é 0.004.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.