CVE-2026-42747: Plugin Easy Form Builder para WordPress - SQL Injection cega (CWE-89)

Visão geral

A CVE-2026-42747 descreve uma SQL injection cega, classificada como CWE-89, no plugin Easy Form Builder, de hassantafreshi. O CNA, Patchstack, publicou o registro. A referência indicada aponta para a entrada da base de vulnerabilidades de plugins WordPress da Patchstack para este plugin.

Impacto

O CNA atribuiu pontuação base CVSS 3.1 de 9,3, com severidade classificada como crítica.
O vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L indica, na nossa leitura, um problema acessível pela rede, de baixa complexidade, sem privilégios exigidos e sem interação do usuário, com alto impacto na confidencialidade e baixo impacto na disponibilidade.
O registro não descreve quais dados concretos podem ser expostos ou alterados, então o impacto prático em cada site depende do acesso ao banco de dados disponível para o plugin.

Produtos e versões afetados

O registro informa que o produto é afetado de n/a até e incluindo 4.0.6. O limite inferior não é especificado.
As listas estruturadas de afetados e de correções estão vazias. Nenhuma versão corrigida é informada nas fontes consultadas.
A ausência de versão corrigida não significa que não exista correção. Consulte o fornecedor e a entrada da Patchstack para o status atual.

Status de exploração

O registro mostra que a CVE não consta no catálogo KEV da CISA.
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
O registro EPSS indica probabilidade de 0,004 (cerca de 0,4 por cento), com percentil de 0,32415, datado de 2026-10-13. O EPSS estima a probabilidade de atividade de exploração e não a confirma.

Correção e mitigação

Identifique se o Easy Form Builder está instalado em seus sites WordPress, incluindo instalações inativas ou esquecidas.
Verifique na referência da Patchstack e no fornecedor se há versão posterior a 4.0.6 e aplique-a assim que estiver disponível e testada.
Se nenhuma versão corrigida for confirmada, considere desativar ou remover o plugin em sites onde ele não é essencial.
Aplique o princípio do menor privilégio à conta de banco de dados usada pela aplicação web e restrinja o acesso público a endpoints administrativos e de processamento de formulários, quando viável.
Considere proteções de firewall de aplicação web como controle compensatório temporário, reconhecendo que não substituem a correção do fornecedor.

Orientação de detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns a endpoints de formulários, especialmente repetições com valores de parâmetros irregulares ou respostas anormalmente lentas.
Monitore os logs do banco de dados em busca de erros ou comportamento inesperado de consultas originadas pela aplicação web.
Compare as versões instaladas do plugin com a faixa afetada e faça o inventário de todos os sites WordPress onde o plugin está presente.

Limitações das informações disponíveis

O registro não fornece título, versão corrigida nem limite inferior das versões afetadas.
Os dados de CVSS vêm do CNA, e nenhuma outra pontuação aparece no registro.
O status da fonte é Deferred, portanto o registro pode ser atualizado.
As fontes disponíveis não descrevem os parâmetros vulneráveis nem os dados exatos afetados, que não são reproduzidos aqui por razões defensivas.

Perguntas frequentes

O que é a CVE-2026-42747?

É uma SQL injection cega (CWE-89) no plugin Easy Form Builder, de hassantafreshi, informada pelo CNA Patchstack com pontuação CVSS 3.1 de 9,3.

Quais versões são afetadas?

O registro indica que as versões de n/a até e incluindo 4.0.6 são afetadas. Nenhuma versão corrigida aparece nas fontes consultadas, então verifique o fornecedor e a Patchstack para atualizações.

Há registro de exploração desta vulnerabilidade?

O registro mostra que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.