CVE-2026-39620: priyanshumittal Appointment: CSRF que permite upload de web shell
A CVE-2026-39620 é uma falha de cross-site request forgery (CWE-352) no produto Appointment da priyanshumittal, que, segundo o registro, pode ser usada para enviar um web shell a um servidor web. A Patchstack, como CNA, classifica como crítica, com pontuação CVSS 3.1 de 9.6, e o registro abrange versões até a 3.5.5. O registro não lista versões afetadas nem corrigidas, e a CVE não consta no catálogo KEV da CISA.
Visão geral
A CVE-2026-39620 é um problema de cross-site request forgery (CWE-352) no produto Appointment da priyanshumittal. O registro descreve que ele permite enviar um web shell a um servidor web. A referência aponta para uma entrada do banco de dados da Patchstack sobre um tema WordPress chamado appointment, o que é uma inferência a partir do caminho da URL.
Impacto
- A Patchstack classifica o problema como crítico, com pontuação base CVSS 3.1 de 9.6.
- O vetor informado no registro indica ataque pela rede, baixa complexidade, nenhum privilégio exigido, interação do usuário exigida, escopo alterado e alto impacto na confidencialidade, integridade e disponibilidade.
- Um upload bem-sucedido de web shell poderia permitir que um atacante execute comandos no servidor. Isso é uma inferência a partir da descrição e não consta explicitamente no registro.
Produtos e versões afetados
- Produto: Appointment, da priyanshumittal.
- Intervalo informado no registro: de n/a até 3.5.5, inclusive.
- As listas de versões afetadas e corrigidas do registro estão vazias, portanto nenhuma versão corrigida é confirmada nas fontes consultadas.
Status de exploração
Nenhuma exploração confirmada aparece nas fontes consultadas. O registro indica que a CVE não consta no catálogo Known Exploited Vulnerabilities da CISA. A probabilidade EPSS registrada é de 0.00201, com percentil de 0.0922.
Correção e mitigação
- Verifique se o tema Appointment está instalado e qual versão está em uso.
- Atualize para uma versão posterior à 3.5.5, caso o fornecedor tenha publicado uma, e confirme a correção no aviso do fornecedor ou da Patchstack, já que o registro não informa versão corrigida.
- Se a atualização não puder ser aplicada imediatamente, restrinja o acesso às funções administrativas e de upload e considere regras de firewall de aplicação web que limitem requisições cross-site a endpoints sensíveis.
- Após a correção, confirme que os formulários usam tokens anti-CSRF.
Orientações de detecção
- Revise diretórios de upload e pastas do tema em busca de arquivos de script inesperados, datas de modificação recentes ou extensões incomuns.
- Analise os logs do servidor web em busca de requisições POST inesperadas a endpoints do tema, especialmente vindas de referenciadores externos.
- Compare os arquivos do tema com uma cópia limpa conhecida para identificar alterações não autorizadas.
Limitações das informações disponíveis
- O registro não informa versões afetadas ou corrigidas além do intervalo indicado até a 3.5.5.
- O registro não possui título e seu status de origem é Deferred.
- A descrição não identifica o endpoint vulnerável nem as condições exatas necessárias.
- A data do EPSS no registro é posterior à data de publicação, por isso a pontuação deve ser interpretada com cautela.
- A identificação de um tema WordPress baseia-se apenas no caminho da URL de referência.
Perguntas frequentes
A CVE-2026-39620 está sendo explorada ativamente?
As fontes consultadas não mostram exploração confirmada, e o registro indica que a CVE não consta no catálogo KEV da CISA. Mesmo assim, trate o problema com seriedade, já que a pontuação CVSS é crítica.
Quais versões são afetadas?
O registro informa um intervalo de n/a até 3.5.5, inclusive. Ele não lista versões afetadas ou corrigidas específicas, então verifique o aviso do fornecedor ou da Patchstack para confirmar a versão instalada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.