CVE-2026-32539: Injeção de SQL no PublishPress Revisions
A CVE-2026-32539 é uma vulnerabilidade de injeção de SQL cega (CWE-89) no PublishPress Revisions, plugin do WordPress, segundo o registro, nas versões até a 3.7.23 inclusive. A CNA Patchstack atribuiu pontuação CVSS 3.1 de 9.3 (crítica), e o registro não indica exploração confirmada. Nenhuma versão corrigida aparece nas fontes consultadas.
Visão geral
A CVE-2026-32539 descreve uma falha de injeção de SQL cega (CWE-89) no componente revisionary do PublishPress Revisions, plugin do WordPress. O registro foi publicado em 25/03/2026 pela CNA Patchstack e seu status de origem é Deferred. A descrição indica que o problema afeta versões de n/a até 3.7.23.
Impacto
Uma injeção de SQL pode permitir que um atacante que alcance a funcionalidade afetada influencie consultas ao banco de dados. O registro descreve o caso como SQL injection cego, em que os resultados são inferidos indiretamente e não retornados diretamente. O vetor CVSS 3.1 informado (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L) indica ataque pela rede, baixa complexidade, sem privilégios nem interação do usuário, mudança de escopo, alto impacto na confidencialidade, sem impacto na integridade e baixo impacto na disponibilidade. A pontuação 9.3 é a informada pela Patchstack e repetida por um segundo provedor no registro.
Produtos e versões afetados
- Produto: PublishPress Revisions (plugin do WordPress), componente revisionary.
- Intervalo informado no registro: de n/a até 3.7.23 (inclusive).
- O registro não traz dados estruturados de versões afetadas ou corrigidas.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Identifique se o PublishPress Revisions está instalado nos seus sites WordPress e qual versão está em uso.
- Verifique no fornecedor ou no canal de atualização do plugin se há versão posterior à 3.7.23 que trate este problema. O registro não informa uma versão corrigida.
- Enquanto uma correção não for confirmada, considere restringir o acesso às funcionalidades administrativas e do plugin, avaliar a real necessidade do plugin e manter backups atualizados.
- Aplique o princípio do menor privilégio às contas de banco de dados usadas pelo WordPress.
Orientação para detecção
- Analise logs do servidor web e da aplicação em busca de padrões de requisição incomuns direcionados aos endpoints do plugin.
- Monitore logs de erro do banco de dados e comportamentos de consulta inesperados, em nível geral.
- Mantenha o inventário de WordPress, temas e plugins atualizado para avaliar rapidamente a exposição.
Limitações das informações disponíveis
O registro não possui dados estruturados de versões afetadas, informações de versão corrigida nem o endpoint ou parâmetro vulnerável específico. A referência de origem é uma página da base de dados da Patchstack. A probabilidade EPSS de 0,004 (percentil 0,32418) é uma estimativa estatística, não evidência de exploração. Não é possível determinar se a pontuação CVSS reflete particularidades de cada implantação.
Perguntas frequentes
O que é a CVE-2026-32539?
É uma vulnerabilidade de injeção de SQL cega (CWE-89) no componente revisionary do PublishPress Revisions, plugin do WordPress, que afeta versões até a 3.7.23 inclusive.
Há exploração conhecida desta vulnerabilidade?
O catálogo KEV da CISA não lista esta CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Qual versão corrige o problema?
O registro não informa versão corrigida. Verifique no fornecedor ou no canal de atualização do plugin se há versão posterior à 3.7.23.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.