CVE-2026-4119: Create DB Tables para WordPress - Ausência de Autorização

Visão geral

O plugin Create DB Tables para WordPress registra hooks de ação admin_post para criar e excluir tabelas do banco de dados. Segundo o registro, esses hooks não verificam capacidades do usuário nem validam nonce, de modo que o único requisito é estar autenticado. A vulnerabilidade é classificada como CWE-862 (Ausência de Autorização). A descrição indica que todas as versões até e incluindo a 1.2.1 são afetadas.

Impacto

Qualquer usuário autenticado com acesso de nível Subscriber ou superior pode alcançar as ações afetadas, segundo o registro.
O registro afirma que um atacante poderia excluir qualquer tabela do banco de dados, incluindo tabelas centrais do WordPress como wp_users ou wp_options, o que pode interromper ou destruir o site.
O registro também afirma que tabelas arbitrárias podem ser criadas.
A entrada no NVD traz pontuação base CVSS 3.1 de 9.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H, que indica alto impacto em integridade e disponibilidade. O impacto em confidencialidade é classificado como nulo nesse vetor.

Produtos e versões afetados

Produto: plugin Create DB Tables para WordPress.
Versões: a descrição indica todas as versões até e incluindo a 1.2.1. A lista estruturada de produtos afetados no registro está vazia, então a faixa exata vem apenas da descrição.
Versões posteriores, se existirem, não são tratadas no registro.

Status de exploração

O catálogo KEV da CISA não lista este CVE no registro, portanto não há exploração ativa confirmada ali. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS no registro é 0,00891, com percentil de 0,58338. Esses valores estimam probabilidade e não confirmam exploração.

Correção e mitigação

Identifique todos os sites que utilizam o plugin Create DB Tables e verifique a versão instalada.
O registro não identifica uma versão corrigida. Consulte os canais do desenvolvedor do plugin e o repositório de plugins do WordPress em busca de uma versão atualizada, e aplique-a quando disponível.
Se não houver correção, considere remover ou desativar o plugin até que uma versão corrigida seja confirmada.
Restrinja a criação de contas e revise contas existentes de baixo privilégio, pois qualquer usuário autenticado está no escopo.
Faça e verifique backups atuais do banco de dados antes de qualquer alteração, já que o impacto descrito inclui a exclusão de tabelas.

Orientações de detecção

Revise os logs do servidor web e do WordPress em busca de requisições a endpoints admin-post associados ao plugin feitas por contas que não deveriam gerenciar a estrutura do banco.
Monitore o banco de dados quanto a eventos inesperados de criação ou exclusão de tabelas, especialmente de tabelas centrais do WordPress.
Compare a lista de tabelas do banco com uma referência conhecida como íntegra para identificar tabelas ausentes ou inesperadas.

Limitações das informações disponíveis

O registro não informa versão corrigida, status de patch nem um aviso do fornecedor além da entrada da Wordfence.
O status da fonte no registro é Deferred, então os detalhes podem mudar.
As listas estruturadas de produtos afetados e corrigidos estão vazias.
Nenhuma exploração confirmada foi encontrada nas fontes consultadas, mas isso não descarta a exploração.

Perguntas frequentes

Quais versões do plugin Create DB Tables são afetadas?

A descrição indica que todas as versões até e incluindo a 1.2.1 são afetadas. O registro não informa uma versão corrigida, então verifique o desenvolvedor do plugin ou o repositório de plugins do WordPress em busca de uma atualização.

Usuários com privilégios baixos podem explorar esta falha?

Segundo o registro, qualquer usuário autenticado, inclusive Subscribers, consegue alcançar as ações afetadas porque elas não verificam capacidade nem nonce. Nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.