CVE-2026-32525: JetFormBuilder (jetmonsters) - Injeção de código (CWE-94)
De acordo com o registro, uma falha de injeção de código (CWE-94) afeta o produto JetFormBuilder, da jetmonsters, nas versões até 3.5.6.1 inclusive. O CNA atribuiu pontuação CVSS 3.1 crítica de 9.9, e o vetor indica acesso pela rede com privilégios baixos exigidos. Não há versão corrigida nem exploração confirmada nas fontes consultadas.
Visão geral
O registro descreve uma falha de injeção de código (CWE-94) no JetFormBuilder, da jetmonsters. O intervalo informado vai até a versão 3.5.6.1, e o limite inferior aparece apenas como 'n/a'.
Impacto
- O vetor CVSS 3.1 fornecido pelo CNA descreve ataque pela rede, baixa complexidade, privilégios baixos exigidos, nenhuma interação do usuário, escopo alterado e alto impacto na confidencialidade, integridade e disponibilidade.
- Falhas de injeção de código podem permitir que comandos sejam executados no contexto da aplicação afetada. O registro não confirma as consequências exatas neste produto.
Produtos e versões afetados
- Produto: JetFormBuilder, publicado pela jetmonsters.
- Intervalo informado: até a versão 3.5.6.1 inclusive. O limite inferior não é especificado.
- As listas de afetados e de correções do registro estão vazias, portanto não há dados de versão legíveis por máquina.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. Os dados EPSS do registro indicam probabilidade de 0.00518 e percentil de 0.4245.
Correção e mitigação
- Faça o inventário de todas as instalações do JetFormBuilder e registre suas versões.
- Planeje a atualização para uma versão posterior à 3.5.6.1 assim que o fornecedor publicar uma. O registro não informa a versão corrigida.
- Até a correção, restrinja quem pode acessar a funcionalidade afetada, remova contas não utilizadas e desative o componente onde ele não for necessário.
- Consulte a referência da Patchstack para orientações específicas do fornecedor.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns às funcionalidades de processamento de formulários.
- Procure alterações inesperadas de arquivos ou novos scripts nos diretórios do plugin.
- Observe conexões de saída inesperadas partindo do servidor web.
Limitações das informações disponíveis
- O registro não contém versão corrigida, lista de versões afetadas nem texto de aviso do fornecedor.
- A página da Patchstack não foi analisada, portanto os detalhes do fornecedor permanecem desconhecidos.
- A data do EPSS no registro (2026-10-13) é posterior à data de publicação e deve ser verificada na fonte.
Perguntas frequentes
Quais produto e versões a CVE-2026-32525 afeta?
O registro cita o JetFormBuilder, da jetmonsters, e informa um intervalo até a versão 3.5.6.1 inclusive. O limite inferior não é especificado, e não há lista legível por máquina de versões afetadas.
Há exploração conhecida desta vulnerabilidade?
O registro não a inclui no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.