CVE-2026-42716: Payever WooCommerce Gateway (WordPress) - Injeção de Objeto PHP não autenticada

Visão geral

O plugin Payever - WooCommerce Gateway para WordPress é afetado por uma falha de Injeção de Objeto PHP não autenticada, classificada como CWE-502 (Desserialização de Dados Não Confiáveis), nas versões até a 4.8.2 inclusive. O registro foi publicado pela Patchstack como CNA. Os detalhes estão na entrada de vulnerabilidade da Patchstack.

Impacto

A Patchstack informa pontuação base CVSS 3.1 de 9.8 (crítica). O vetor indicado no registro aponta acesso pela rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
Os dados SSVC do registro classificam o impacto técnico como total e a vulnerabilidade como automatizável.
Falhas de desserialização desse tipo podem permitir que um agente mal-intencionado influencie objetos da aplicação. O efeito real depende dos caminhos de código presentes no plugin e no ambiente, que o registro não descreve.

Produtos e versões afetadas

Payever Payever - WooCommerce Gateway, nas versões até a 4.8.2 inclusive.
O registro não informa nenhuma versão corrigida.

Status de exploração

O catálogo KEV da CISA não lista esta CVE, portanto o KEV não reporta exploração ativa.
O campo de exploração SSVC está como none, e a probabilidade EPSS é 0.00386 (percentil 0.30826), datada de 2026-10-13.
Não há exploração confirmada nas fontes consultadas.

Correção e mitigação

Faça o inventário dos sites WordPress que usam o plugin Payever - WooCommerce Gateway e compare a versão instalada com a faixa afetada.
Consulte o fornecedor e a entrada da Patchstack para verificar se existe versão corrigida, pois o registro não a informa. A ausência de versão corrigida no registro não confirma que não haja correção.
Quando o plugin não for essencial, considere desativá-lo até que uma atualização verificada seja aplicada.
Mantenha WordPress, WooCommerce e todos os plugins em versões atuais e suportadas, aplicando as recomendações de endurecimento do fornecedor.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições não autenticadas incomuns aos endpoints do plugin, sobretudo as que carregam dados serializados.
Monitore alterações inesperadas de arquivos, criação de contas administrativas e conexões de saída incomuns em hosts WordPress.

Limitações das informações disponíveis

O registro não descreve o componente vulnerável, o caminho exato de código nem as condições necessárias para o impacto.
O registro não contém versão corrigida, referência de patch do fornecedor nem pontuação atribuída pela NVD.
Além dos campos KEV e SSVC, o registro não traz evidências de exploração.

Perguntas frequentes

Quais versões do plugin Payever WooCommerce Gateway são afetadas pela CVE-2026-42716?

O registro indica que o plugin é afetado até a versão 4.8.2 inclusive. Ele não informa nenhuma versão corrigida, por isso administradores devem consultar o fornecedor ou a entrada da Patchstack para verificar atualizações.

A CVE-2026-42716 está sendo explorada ativamente?

O catálogo KEV da CISA não lista esta CVE, e não há exploração confirmada nas fontes consultadas. O campo de exploração SSVC está como none.

Que tipo de fraqueza é a CVE-2026-42716?

Ela é classificada como CWE-502, Desserialização de Dados Não Confiáveis, descrita como uma falha de Injeção de Objeto PHP que pode ser disparada sem autenticação.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.