CVE-2026-42740: Plugin WordPress Tainacan - Injeção de SQL Cega

Visão geral

A CVE-2026-42740 é uma fragilidade de injeção de SQL (CWE-89) no plugin Tainacan para WordPress. A CNA, Patchstack, a descreve como injeção de SQL cega, ou seja, um invasor pode inferir informações do banco de dados a partir do comportamento da aplicação, sem ver diretamente os resultados das consultas.

Impacto

O vetor CVSS 3.1 do registro é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L, com pontuação base 9.3 (crítica).
Segundo esse vetor, o registro indica alto impacto na confidencialidade, sem impacto na integridade, baixo impacto na disponibilidade e escopo alterado, sem exigir privilégios nem interação do usuário pela rede.
Os dados SSVC do registro classificam o impacto técnico como parcial e a automatização como sim.

Produtos e versões afetadas

Tainacan (plugin Tainacan para WordPress): versões de n/a até 1.0.3, inclusive, conforme o registro.
O registro não informa versões corrigidas publicadas pelo fornecedor.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto não há exploração ativa reportada pelo KEV.
Nenhuma exploração confirmada aparece nas fontes consultadas.
O registro informa probabilidade EPSS de 0.004 (percentil 0.32416) e valor de exploração SSVC igual a none.

Correção e mitigação

O registro não contém versão corrigida. Isso é desconhecido, não evidência de que não exista correção. Consulte a entrada da Patchstack e o mantenedor do plugin para verificar uma versão atualizada.
Até a aplicação de uma correção verificada, considere desativar o plugin Tainacan caso não seja essencial, restringir o acesso administrativo e público quando possível e usar um firewall de aplicação web com proteção virtual, se disponível.
Verifique se algum site afetado expõe os endpoints do Tainacan publicamente e priorize esses sites.

Orientação para detecção

Revise os logs do servidor web e da aplicação em busca de valores de parâmetros incomuns ou malformados enviados a endpoints relacionados ao Tainacan, além de mensagens de erro ou variações anormais de tempo de resposta.
Monitore os logs do banco de dados em busca de padrões de consulta inesperados originados da conta usada pela aplicação web.
Mantenha o WordPress, plugins e temas atualizados e mantenha um inventário das versões de plugins instaladas.

Limitações das informações disponíveis

O registro não descreve o parâmetro vulnerável, o endpoint afetado nem o contexto de autenticação necessário, além do que consta no vetor CVSS.
Não há versão corrigida, texto de aviso do fornecedor nem detalhes de prova de conceito no registro.
Os dados EPSS e os valores SSVC refletem o registro no momento da montagem e podem mudar.

Perguntas frequentes

O que é a CVE-2026-42740?

É uma vulnerabilidade crítica de injeção de SQL cega (CWE-89) no plugin Tainacan para WordPress, afetando versões até a 1.0.3, segundo o registro.

Esta vulnerabilidade está sendo explorada ativamente?

O catálogo KEV da CISA não lista esta CVE no registro, e nenhuma exploração confirmada aparece nas fontes consultadas.

Existe versão corrigida disponível?

O registro não informa versão corrigida. Isso é desconhecido, não prova de que não há correção, por isso consulte a entrada da Patchstack e o mantenedor do plugin.

O que os administradores devem fazer agora?

Identifique sites com Tainacan até a 1.0.3, desative o plugin se não for essencial, restrinja o acesso quando possível e aplique a versão atualizada assim que estiver verificada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.