CVE-2026-32573: Plugin Nelio AB Testing para WordPress até 8.2.7 - Injeção de código (CWE-94)

Visão geral

A CVE-2026-32573 foi publicada em 2026-03-25 com a Patchstack como CNA. O registro classifica a fraqueza como CWE-94 (Injeção de código) no plugin Nelio AB Testing para WordPress. O título do registro descreve o problema como execução remota de código, mas a descrição oficial menciona apenas injeção de código, por isso esta análise trata os dois pontos sem ir além do que consta no registro.

Impacto

O vetor CVSS 3.1 é AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H, com pontuação base 9.1 (Crítica).
Os impactos de confidencialidade, integridade e disponibilidade são classificados como altos, e o escopo como alterado.
A exigência de privilégios está como alta, ou seja, o vetor pressupõe que o atacante já possui privilégios elevados.
Os dados SSVC do registro classificam o impacto técnico como total e a automatizabilidade como não.

Produtos e versões afetadas

Produto: Nelio Software Nelio AB Testing (nelio-ab-testing), plugin para WordPress.
Faixa afetada: todas as versões até a 8.2.7 inclusive, conforme a descrição do registro.
O registro não indica versão corrigida. A ausência de correção listada não significa que ela não exista, por isso consulte o fornecedor e a entrada da Patchstack.

Status de exploração

O registro indica que esta CVE não consta no catálogo KEV da CISA, portanto a exploração ativa não está confirmada.
Não há exploração confirmada nas fontes consultadas para esta análise.
O registro informa probabilidade EPSS de 0.0054 (percentil 0.43877), datada de 2026-10-13.
A exploração no SSVC está registrada como nenhuma.

Correção e mitigação

Identifique todos os sites WordPress que usam o Nelio AB Testing e confirme a versão instalada.
Atualize para uma versão posterior à 8.2.7 assim que o fornecedor publicar uma, e confirme no changelog oficial do plugin.
Enquanto a correção não for confirmada, limite contas com privilégios elevados ao mínimo necessário e remova contas sem uso.
Mantenha o núcleo do WordPress e os demais plugins atualizados. Um firewall de aplicação web com regras mantidas pelo fornecedor pode servir como controle compensatório, mas não substitui a aplicação de correções.
Revise periodicamente a entrada da Patchstack para verificar atualizações sobre versões afetadas e corrigidas.

Orientações de detecção

Monitore os diretórios do plugin com ferramentas de integridade de arquivos e investigue alterações inesperadas.
Revise a atividade administrativa do WordPress, incluindo contas novas ou alteradas e mudanças recentes de configuração.
Analise os logs do servidor web em busca de requisições incomuns ao plugin vindas de origens inesperadas, interpretando os resultados com as orientações do fornecedor.

Limitações das informações disponíveis

O registro não informa versão corrigida nem aviso oficial do fornecedor.
A única referência do lado do fornecedor é a entrada da base da Patchstack, além das páginas da NVD e do CVE.org.
A caracterização de RCE no título não é afirmada na descrição, por isso o impacto exato é desconhecido.
A data do EPSS é posterior à data de publicação e deve ser verificada na fonte.

Perguntas frequentes

O que é a CVE-2026-32573?

É uma vulnerabilidade de injeção de código (CWE-94) no plugin Nelio AB Testing para WordPress, que afeta versões até a 8.2.7 conforme registrado pela Patchstack.

Qual é a gravidade?

A Patchstack e o CISA-ADP registram pontuação base CVSS 3.1 de 9.1 (Crítica). O vetor exige privilégios altos e indica escopo alterado.

Existe versão corrigida ou exploração conhecida?

O registro não informa versão corrigida e a CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.