CVE-2026-39531: Vulnerabilidade de SQL Injection no WP Directory Kit

Visão geral

O registro do CNA descreve uma falha de SQL injection cega (CWE-89) no plugin WordPress WP Directory Kit. O registro indica que o problema afeta versões de n/a até 1.5.0.

Impacto

A pontuação CVSS 3.1 de 9.3, atribuída pela Patchstack, é crítica. O vetor indica ataque pela rede, baixa complexidade, sem privilégios e sem interação do usuário.
O vetor aponta alto impacto na confidencialidade, nenhum na integridade e baixo na disponibilidade.
Uma SQL injection cega pode permitir inferir indiretamente o conteúdo do banco de dados, o que pode expor dados armazenados.

Produtos e versões afetadas

Produto: WP Directory Kit, plugin para WordPress.
Versões: o registro diz 'de n/a até 1.5.0'. O limite inferior não está especificado.
O registro não traz dados estruturados de versões afetadas ou corrigidas.

Status de exploração

O registro mostra que a CVE não está listada no catálogo KEV da CISA.
Não há exploração confirmada nas fontes consultadas.
O registro informa probabilidade EPSS de 0,004, com percentil de 0,32402.

Correção e mitigação

Verifique se o WP Directory Kit está instalado e qual versão está em uso. Versões até 1.5.0 inclusive são descritas como afetadas.
Consulte o aviso da Patchstack e o fornecedor do plugin para uma versão corrigida. O registro não informa uma.
Se não houver correção disponível e o plugin não for essencial, considere desativá-lo.
Limite os privilégios da conta de banco de dados ao mínimo necessário e mantenha WordPress e demais plugins atualizados.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de parâmetros incomuns ou mensagens de erro de banco de dados nas páginas do plugin.
Observe atrasos de resposta fora do padrão ou volume anormal de requisições às páginas de diretório.
Mantenha um inventário dos sites que usam o plugin para priorizar a revisão.

Limitações das informações disponíveis

O registro não identifica o parâmetro vulnerável, o endpoint ou o papel de usuário necessário além do que o vetor CVSS sugere.
O registro não traz versão corrigida, texto de aviso do fornecedor nem detalhes de exploração.
O limite inferior do intervalo afetado não está especificado.
O status de origem do registro é Deferred, portanto a análise do NVD pode estar incompleta.

Perguntas frequentes

Quais versões do WP Directory Kit são afetadas pela CVE-2026-39531?

O registro indica que o problema afeta versões de n/a até 1.5.0. O limite inferior não está especificado e o registro não traz dados estruturados de versão.

A CVE-2026-39531 é explorada na prática?

O registro não a lista no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

Existe uma versão corrigida?

O registro não informa versão corrigida. Consulte o aviso da Patchstack e o fornecedor do plugin para verificar atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.