CVE-2026-32519: Plugin Bit SMTP para WordPress

Visão geral

A CVE-2026-32519 é um problema de escalonamento de privilégios no plugin Bit SMTP para WordPress, da Bit Apps. O registro a classifica como atribuição incorreta de privilégios (CWE-266) e informa que versões até a 1.2.2, inclusive, são afetadas.

Impacto

A Patchstack e a CISA-ADP atribuem pontuação base CVSS 3.1 de 9.0 (Crítica), com o vetor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H.
O vetor indica ataque pela rede, complexidade de ataque alta, nenhum privilégio exigido e nenhuma interação do usuário, com mudança de escopo e alto impacto na confidencialidade, integridade e disponibilidade.
O escalonamento de privilégios pode permitir que um agente com menos direitos alcance capacidades reservadas a funções superiores. O registro não descreve a função afetada, por isso o resultado exato é desconhecido.

Produtos e versões afetados

Bit Apps Bit SMTP (bit-smtp), a partir de uma versão inicial não especificada até a 1.2.2.
O registro informa o início da faixa como n/a, portanto versões anteriores não podem ser confirmadas nem descartadas com os dados disponíveis.
Não há versão corrigida listada. A ausência de versão corrigida não significa que não exista correção.

Status de exploração

O registro indica que a CVE não consta no catálogo CISA KEV. Não há exploração ativa confirmada nas fontes consultadas.
O registro traz probabilidade EPSS de 0.00373 e percentil de 0.29423. A avaliação SSVC indica exploração como none e automatizável como no.

Correção e mitigação

Identifique os sites WordPress que utilizam o Bit SMTP e registre a versão instalada, priorizando qualquer versão igual ou inferior a 1.2.2.
Consulte a entrada da Patchstack e os canais do fornecedor para verificar uma versão atualizada e aplique-a assim que estiver disponível.
Se não houver versão corrigida e o plugin não for essencial, considere desativá-lo e removê-lo, ou migrar para uma alternativa mantida.
Restrinja funções administrativas a quem precisa delas e revise atribuições de função recentes.

Orientações de detecção

Revise contas de usuário em busca de mudanças inesperadas de função ou capacidade, contas de administrador recém-criadas e alterações de privilégio que não correspondam a atividades aprovadas.
Revise os logs do servidor web e do WordPress em busca de atividade incomum relacionada ao plugin e aos seus endpoints administrativos, em nível geral.
Relacione esses achados com o inventário de versões de plugins instalados.

Limitações das informações disponíveis

O registro não descreve a função vulnerável, eventuais pré-condições além do vetor CVSS, nem uma versão corrigida.
O início da faixa afetada é informado como n/a.
A entrada EPSS está datada de 2026-10-13, posterior à data de publicação de 2026-03-25, por isso sua atualidade deve ser verificada na fonte.
O título do registro refere-se a autenticação quebrada, enquanto a descrição trata de atribuição incorreta de privilégios. Esta análise segue a descrição.

Perguntas frequentes

O que é a CVE-2026-32519?

É uma vulnerabilidade de escalonamento de privilégios no plugin Bit SMTP para WordPress, da Bit Apps, classificada como atribuição incorreta de privilégios (CWE-266).

Quais versões são afetadas?

O registro indica versões do Bit SMTP até a 1.2.2 como afetadas, mas o início da faixa é n/a, por isso o alcance completo é desconhecido.

Esta vulnerabilidade está sendo explorada ativamente?

O registro mostra que a CVE não consta no catálogo CISA KEV e não há exploração ativa confirmada nas fontes consultadas.

Existe versão corrigida?

Nenhuma versão corrigida consta no registro. Consulte a entrada da Patchstack e o fornecedor para verificar atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.