CVE-2026-40797: Plugin WordPress WebinarIgnition - vulnerabilidade de SQL Injection

Visão geral

O plugin WebinarIgnition para WordPress, da Saleswonder LLC, contém uma falha de SQL Injection (CWE-89) que permite SQL Injection cego. O registro foi publicado em 2026-05-05 e o CVE foi atribuído pela Patchstack como CNA.

Impacto

A CNA atribuiu pontuação 9.3 (Crítica) pelo CVSS 3.1, com vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário.
O vetor registrado indica alto impacto na confidencialidade, sem impacto na integridade, baixo impacto na disponibilidade e escopo alterado.
Os dados SSVC do registro indicam impacto técnico parcial e que o problema é automatizável.

Produtos e versões afetadas

Saleswonder LLC WebinarIgnition, versões até 4.08.253 segundo o registro.
O registro não informa versão corrigida. Isso não significa que não exista correção; consulte o fornecedor e a entrada da Patchstack para atualizações.

Status de exploração

Este CVE não aparece como listado no catálogo KEV da CISA no registro, portanto a exploração ativa não é confirmada por essa fonte.
Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
O campo de exploração SSVC está como none e a probabilidade EPSS é 0.004 (cerca de 0,4%).

Correção e mitigação

Faça um inventário de todas as instalações do WebinarIgnition e registre as versões exatas.
Verifique no fornecedor e na entrada da Patchstack se há versão corrigida e aplique-a assim que estiver confirmada.
Enquanto não houver correção verificada, reduza a exposição quando possível, limitando o acesso ao plugin ou removendo-o se ele não for necessário.
Mantenha o núcleo do WordPress e os demais plugins atualizados e use contas de banco de dados com privilégios mínimos.

Orientações de detecção

Revise logs do servidor web e da aplicação em busca de parâmetros incomuns ou requisições repetidas direcionadas a componentes do WebinarIgnition.
Monitore logs de erro do banco de dados e variações anormais de tempo de resposta que possam indicar tentativas de injeção.
Considere um firewall de aplicação web com regras para SQL Injection, ajustado para limitar falsos positivos em tráfego legítimo.

Limitações das informações disponíveis

O registro não informa versões corrigidas, o limite inferior das versões afetadas (a descrição indica n/a) nem os endpoints vulneráveis.
Não há pontuação NVD no registro; a pontuação 9.3 é a pontuação da CNA Patchstack.
A data do EPSS no registro é posterior à data de publicação, então o valor deve ser interpretado com cautela.
As fontes consultadas não forneceram o texto de um aviso do fornecedor.

Perguntas frequentes

Esta vulnerabilidade do WebinarIgnition está sendo explorada ativamente?

O registro não lista este CVE no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas. O campo SSVC de exploração está como none.

Existe uma versão corrigida do WebinarIgnition?

O registro não informa versão corrigida. Isso é desconhecido e não prova que não exista correção, por isso verifique o fornecedor e a entrada da Patchstack.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.