CVE-2026-42727: Plugin Active Products Tables for WooCommerce
A CVE-2026-42727 é uma falha de SQL injection (CWE-89) no plugin WordPress Active Products Tables for WooCommerce, de RealMag777, que afeta versões até a 1.0.8 inclusive. O registro descreve a falha como blind SQL injection e atribui pontuação CVSS 3.1 de 9.3 (Crítica) pela Patchstack. Nenhuma versão corrigida é listada e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-42727 é uma fraqueza de SQL injection (CWE-89) no plugin WordPress Active Products Tables for WooCommerce, de RealMag777. O registro descreve a falha como blind SQL injection e lista versões até a 1.0.8 inclusive. A CVE foi publicada pela CNA Patchstack.
Impacto
- O registro informa pontuação base CVSS 3.1 de 9.3 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L.
- O vetor indica acesso pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário, mudança de escopo, alto impacto na confidencialidade, sem impacto na integridade e baixo impacto na disponibilidade.
- Os campos SSVC do registro indicam que o problema é automatizável e tem impacto técnico parcial.
Produtos e versões afetados
- RealMag777 Active Products Tables for WooCommerce (identificador profit-products-tables-for-woocommerce), versões ≤ 1.0.8 conforme o registro.
- O registro não lista versão corrigida.
Status de exploração
- O registro indica que esta CVE não consta no catálogo KEV da CISA.
- Não há exploração confirmada nas fontes consultadas.
- O valor de exploração SSVC no registro é none, e a probabilidade EPSS é 0.004.
Correção e mitigação
- Verifique se o plugin está instalado e qual versão está em uso; considere a versão 1.0.8 e as anteriores como dentro do escopo.
- Como não há versão corrigida listada, consulte a entrada da Patchstack e o fornecedor do plugin para saber a situação das atualizações. Se não houver correção, avalie desativar ou remover o plugin até que uma solução seja confirmada.
- Restrinja os privilégios da conta de banco de dados usada pelo WordPress ao estritamente necessário e mantenha o núcleo do WordPress e os demais plugins atualizados.
- Um firewall de aplicação web ou controle semelhante pode servir como medida compensatória temporária, mas não substitui a correção do fornecedor.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de valores de parâmetros incomuns em requisições relacionadas ao plugin, além de erros de banco de dados ou tempos de resposta anormais.
- Monitore os logs do banco de dados em busca de padrões de consulta originados das funcionalidades do plugin.
Limitações das informações disponíveis
- O registro não identifica o parâmetro vulnerável, o endpoint nem o contexto de autenticação além do vetor CVSS.
- Não há versão corrigida, texto de aviso do fornecedor nem detalhes técnicos de comprovação.
- O registro não contém pontuação separada atribuída pelo NVD; a pontuação listada vem da CNA Patchstack.
- A data do EPSS no registro é posterior à data de publicação, por isso a atualidade desse valor deve ser verificada.
Perguntas frequentes
O que é a CVE-2026-42727?
É uma vulnerabilidade de SQL injection (CWE-89) no plugin WordPress Active Products Tables for WooCommerce, de RealMag777, que afeta versões até a 1.0.8 inclusive, descrita como blind SQL injection.
Existe versão corrigida disponível?
O registro não lista versão corrigida. Isso não prova que não exista correção, por isso consulte a entrada da Patchstack e o fornecedor para saber a situação das atualizações.
Esta vulnerabilidade está sendo explorada?
O registro indica que ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.