CVE-2026-42718: Plugin Booster for WooCommerce para WordPress - Injeção de Objeto PHP

Visão geral

A CVE-2026-42718 afeta o plugin Booster for WooCommerce para WordPress nas versões até a 8.4.0 inclusive. O registro descreve uma falha de injeção de objeto PHP não autenticada, classificada como CWE-502 (Desserialização de Dados Não Confiáveis). A publicação ocorreu em 10/10/2026, e a Patchstack aparece como CNA.

Impacto

A nota CVSS 3.1 de 9.8 (crítica) é atribuída à Patchstack no registro. O vetor indica ataque pela rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário.
O vetor classifica o impacto na confidencialidade, integridade e disponibilidade como alto.
Os dados SSVC do registro indicam impacto técnico total e que o problema é automatizável.

Falhas de injeção de objeto PHP podem permitir que um atacante influencie a criação e o uso de objetos da aplicação. As consequências reais dependem dos caminhos de código e de outros componentes do site, que o registro não descreve.

Produtos e versões afetadas

Produto indicado no registro: Pluggabl Booster for WooCommerce.
Versões afetadas: até a 8.4.0 inclusive.
O título se refere ao Booster for WooCommerce, por isso o nome do produto deve ser conferido nas páginas do próprio fornecedor.

Status de exploração

O registro indica KEV como não listada, portanto esta CVE não consta no catálogo KEV da CISA como explorada ativamente. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0,00386 (percentil 0,30827) em 13/10/2026, e a exploração no SSVC está registrada como nenhuma.

Correção e mitigação

O registro não informa versão corrigida. Não presuma que exista correção; consulte a entrada da Patchstack e o fornecedor do plugin em busca de uma versão posterior à 8.4.0.
Se o plugin estiver instalado na versão 8.4.0 ou anterior e não houver versão corrigida confirmada, considere desativá-lo ou removê-lo até que a correção do fornecedor seja verificada.
Limite a exposição dos sites afetados quando possível e mantenha o WordPress, temas e demais plugins atualizados.
Faça um inventário de todos os sites e ambientes de homologação para confirmar a presença do plugin.

Orientações para detecção

Identifique todas as instalações WordPress que usam o plugin e registre a versão de cada uma.
Analise os logs do servidor web e da aplicação em busca de requisições incomuns direcionadas ao plugin e de alterações inesperadas nos arquivos do site ou nas contas de administrador.
Monitore comportamentos anômalos em sites nos quais o plugin esteja acessível a visitantes não autenticados.

Limitações das informações disponíveis

O registro não traz versão corrigida, detalhes de correção nem descrição técnica do caminho de código vulnerável.
O nome do produto no campo de afetados difere do título, o que gera ambiguidade sobre o fornecedor.
Se a funcionalidade vulnerável é acessível depende da configuração do site, o que é desconhecido.
As páginas da NVD e do CVE.org são citadas como fontes, mas o registro contém apenas os seus identificadores.

Perguntas frequentes

A CVE-2026-42718 é explorada ativamente?

O registro indica que a CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. A exploração no SSVC está registrada como nenhuma.

Quais versões do Booster for WooCommerce são afetadas?

O registro indica versões até a 8.4.0 inclusive. Ele não informa versão corrigida, por isso confira com o fornecedor se há atualização.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.