CVE-2026-39440: Injeção de Código no Funnelforms FunnelFormsPro com Inclusão Remota de Código

Visão geral

A CVE-2026-39440 descreve um problema de controle impróprio da geração de código, classificado como injeção de código (CWE-94), no FunnelFormsPro, da Funnelforms LLC. A descrição publicada indica que a falha permite inclusão remota de código e informa a faixa afetada como de n/a até 3.8.1. O registro foi publicado em 23/04/2026 e atribuído pelo CNA Patchstack.

Impacto

A avaliação do CNA classifica a falha como crítica, com pontuação base CVSS 3.1 de 9.9.
O vetor indica ataque pela rede, baixa complexidade, baixo privilégio exigido, nenhuma interação do usuário, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade.
Como o tipo de falha é injeção de código com inclusão remota, uma exploração bem-sucedida provavelmente permitiria executar código no contexto da aplicação afetada. Trata-se de inferência a partir do tipo de falha e do vetor, não de afirmação das fontes.

Produtos e versões afetados

Produto: FunnelFormsPro, da Funnelforms LLC.
Faixa afetada conforme publicado: de n/a até 3.8.1. O limite inferior não está expresso de forma utilizável, portanto o início da faixa é desconhecido.
O registro não contém dados estruturados de versões afetadas ou corrigidas.

Status de exploração

A CVE não consta no catálogo KEV da CISA. Não foi identificada exploração confirmada nas fontes consultadas para esta análise. A probabilidade EPSS é 0,00518, com percentil de 0,42447, que é uma estimativa estatística e não evidência de exploração.

Correção e mitigação

O registro não identifica uma versão corrigida. A ausência de versão corrigida neste registro não significa que não exista correção; consulte o fornecedor e o aviso da Patchstack para a versão atual com correção.
Como medida defensiva geral, inventarie todas as instalações do FunnelFormsPro e considere vulneráveis as versões dentro da faixa publicada, até 3.8.1 inclusive, até que uma correção do fornecedor seja confirmada.
Enquanto a correção estiver pendente, restrinja a exposição de funcionalidades administrativas e do plugin e limite quem pode enviar ou alterar arquivos do plugin.
Verifique com o fornecedor e com a Patchstack se há alguma solução provisória recomendada.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições inesperadas que façam referência a recursos externos ou a parâmetros incomuns de inclusão de arquivos.
Verifique no diretório do plugin a existência de arquivos inesperados ou modificados recentemente.
Monitore conexões de saída inesperadas partindo do servidor web, o que pode indicar a obtenção de conteúdo remoto incluído.

Limitações das informações disponíveis

O registro não possui título, dados estruturados de versões afetadas ou corrigidas, texto de aviso do fornecedor além da descrição, nem detalhes técnicos ou prova de conceito. O limite inferior da faixa afetada aparece como n/a. O status da fonte está marcado como Deferred. A análise acima baseia-se apenas na descrição, nos dados do CVSS, na classificação CWE, nos campos KEV e EPSS e em uma referência da Patchstack.

Perguntas frequentes

A CVE-2026-39440 está sendo explorada ativamente?

A CVE não consta no catálogo KEV da CISA e não foi identificada exploração confirmada nas fontes consultadas para esta análise.

Quais versões do FunnelFormsPro são afetadas?

A faixa publicada é de n/a até 3.8.1. O limite inferior não está claramente informado e o registro não contém dados estruturados de versões.

Existe uma versão corrigida?

O registro não identifica uma versão corrigida. Consulte o fornecedor e o aviso da Patchstack para a versão atual com correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.