CVE-2026-41555: Plugin WordPress Newsletter Subscription Form – User Subscriptions Form, Capture Email até 1.5.9 – Injeção de SQL
A Patchstack relata uma injeção de SQL não autenticada no plugin Newsletter Subscription Form – User Subscriptions Form, Capture Email para WordPress, nas versões até 1.5.9 inclusive, com pontuação 9.3 (crítica). O registro não traz versão corrigida e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-41555 é uma falha de injeção de SQL (CWE-89) no plugin Newsletter Subscription Form – User Subscriptions Form, Capture Email para WordPress, que afeta as versões até 1.5.9 inclusive. Segundo o registro, a falha pode ser alcançada sem autenticação.
Impacto
- A pontuação da Patchstack é 9.3 (crítica). O vetor indica alcance pela rede, baixa complexidade, ausência de privilégios e de interação do usuário.
- O vetor aponta alto impacto na confidencialidade, nenhum na integridade e baixo na disponibilidade, com escopo alterado.
- Uma injeção de SQL pode permitir a leitura de dados do banco acessíveis ao plugin. As fontes não detalham quais dados seriam expostos.
Produtos e versões afetadas
- Produto: Weblizar - WordPress Themes & Plugin Newsletter Subscription Form – User Subscriptions Form, Capture Email.
- Faixa afetada: até 1.5.9 inclusive.
- Versão corrigida: nenhuma listada no registro consultado.
Status de exploração
- A CVE não consta na lista CISA KEV no registro.
- Não há exploração confirmada na natureza nas fontes consultadas.
- O SSVC classifica a exploração como none e a automatizabilidade como yes. A probabilidade EPSS é 0.00247, com percentil de 0.15094 em 2026-10-23.
Correção e mitigação
- Identifique todos os sites com o plugin e verifique a versão instalada.
- Acompanhe os canais do fornecedor e da Patchstack para uma versão corrigida, e atualize assim que houver correção publicada e validada.
- Enquanto não houver correção confirmada, considere desativar o formulário de assinatura se ele não for essencial, e limite os privilégios da conta do banco ao mínimo necessário.
- Mantenha o WordPress e os demais plugins atualizados e preserve backups testados.
Orientação para detecção
- Revise logs do servidor web e da aplicação em busca de volumes incomuns ou requisições malformadas direcionadas ao formulário.
- Observe erros de banco de dados ou comportamento inesperado de consultas associado ao plugin.
- Verifique alterações inesperadas nas listas de assinantes e a criação de contas administrativas não reconhecidas.
Limitações das informações disponíveis
- O registro não traz versão corrigida, texto de aviso do fornecedor além da descrição, nem detalhes técnicos de reprodução. Esta análise não os acrescenta.
- As fontes não especificam quais tabelas ou campos do banco são alcançáveis.
- O status do registro é Deferred, e os valores EPSS e SSVC podem mudar com o tempo.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada ativamente?
Não segundo o registro. A CVE não consta na CISA KEV e não há exploração confirmada nas fontes consultadas.
Quais versões são afetadas?
O registro indica o plugin até 1.5.9 inclusive. Nenhuma versão corrigida está listada no registro.
O que os administradores devem fazer agora?
Verificar se o plugin está instalado, acompanhar uma correção do fornecedor ou da Patchstack, considerar desativar o formulário se ele não for essencial e manter backups testados.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.