CVE-2026-40800: ELEX WooCommerce Advanced Bulk Edit (WordPress) - Injeção de SQL

Visão geral

Este registro descreve uma falha de injeção de SQL (CWE-89) no plugin ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes para WordPress, que afeta versões até a 1.5.3, inclusive. A Patchstack publicou a entrada como CNA. A entrada do fornecedor está disponível na base da Patchstack.

Impacto

A pontuação base do CVSS 3.1 é 9.3 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L.
O vetor indica alto impacto na confidencialidade, nenhum impacto na integridade, baixo impacto na disponibilidade e mudança de escopo.
Uma injeção de SQL bem-sucedida poderia expor dados armazenados no banco de dados do site. O registro não descreve quais dados ficariam acessíveis.

Produtos e versões afetados

Produto: ELEXtensions ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes.
Versões: até a 1.5.3, inclusive, conforme indicado no registro.
O registro não lista versão corrigida.

Status de exploração

O catálogo KEV da CISA não lista este CVE no registro.
Não há exploração confirmada nas fontes consultadas.
Os campos SSVC do registro indicam exploração none, automatizável no e impacto técnico parcial.
A probabilidade EPSS é baixa (data de 2026-10-13), o que é compatível com pouco interesse observado em exploração.

Correção e mitigação

Identifique todos os sites que usam este plugin e a versão instalada.
Verifique a página do fornecedor e a entrada da Patchstack em busca de uma versão posterior à 1.5.3, pois o registro não lista correção.
Se não houver versão corrigida confirmada, considere desativar o plugin até que uma atualização esteja disponível.
Revise contas com privilégios baixos, já que a descrição menciona uma função de Subscriber, e limite o registro de novos usuários onde não for necessário.
Aplique o princípio do menor privilégio à conta de banco de dados usada pelo WordPress.

Orientações de detecção

Analise os logs do servidor web e do WAF em busca de requisições incomuns às funções de edição em massa do plugin, especialmente as que geram mensagens de erro de banco ou valores de parâmetros anormais.
Audite alterações recentes em massa de preços e atributos de produtos em busca de modificações não aprovadas.
Monitore a criação de contas de usuário novas ou desconhecidas, principalmente contas de baixo privilégio.

Limitações das informações disponíveis

O registro não identifica o endpoint vulnerável, o parâmetro ou as condições técnicas, e esta análise não os acrescenta.
A descrição menciona uma conta de nível Subscriber, mas o vetor CVSS define que nenhum privilégio é necessário. O registro não resolve essa diferença.
Não há versão corrigida, aviso do fornecedor ou data de correção no registro.
As páginas da NVD e do CVE.org são citadas como fontes, mas esta análise se baseia apenas nos dados fornecidos no registro.

Perguntas frequentes

O que é o CVE-2026-40800?

É uma vulnerabilidade de injeção de SQL (CWE-89) no plugin ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes para WordPress, que afeta versões até a 1.5.3, inclusive.

Há exploração conhecida deste CVE?

O CVE não aparece no catálogo KEV da CISA no registro, e não há exploração confirmada nas fontes consultadas.

Existe versão corrigida?

O registro não lista versão corrigida. Verifique as páginas do fornecedor e da Patchstack em busca de uma atualização posterior à 1.5.3.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.