CVE-2026-42755: Plugin WordPress TableOn - Injeção de SQL Cega

Visão geral\n\nA CVE-2026-42755 descreve uma injeção de SQL cega (CWE-89) no plugin TableOn para WordPress, publicado pela RealMag777 com o nome posts-table-filterable. O registro indica que versões até a 1.0.5.1, inclusive, são afetadas. A publicação ocorreu em 2026-05-27 e o CNA responsável é a Patchstack, que lista a entrada em seu banco de dados de vulnerabilidades.\n\n## Impacto\n\nO registro informa que a falha permite injeção de SQL cega, ou seja, um atacante pode influenciar consultas ao banco de dados e inferir informações sem saída direta. O vetor CVSS 3.1 da Patchstack (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L) descreve acesso pela rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário, com alto impacto na confidencialidade, sem impacto na integridade e baixo impacto na disponibilidade. Os dados SSVC do registro classificam o impacto técnico como parcial, a exploração como nenhuma e o problema como automatizável.\n\n## Produtos e versões afetadas\n\n- RealMag777 TableOn (posts-table-filterable), versões até 1.0.5.1, inclusive, conforme o registro.\n- O registro não informa nenhuma versão corrigida. Isso não significa que não exista correção; significa apenas que o registro não a menciona.\n\n## Status de exploração\n\nO registro mostra que a CVE não consta no catálogo KEV da CISA. Não há indicação de exploração ativa confirmada nas fontes consultadas para esta análise. O EPSS informa probabilidade de 0,004 (cerca de 0,4 por cento) com percentil de 0,32411, e o SSVC marca a exploração como nenhuma.\n\n## Correção e mitigação\n\n- Identifique sites WordPress que utilizem o TableOn ou o plugin posts-table-filterable, incluindo as versões até 1.0.5.1.\n- Como o registro não lista versão corrigida, consulte a entrada da Patchstack e os canais do fornecedor do plugin antes de depender de qualquer caminho de atualização.\n- Se o plugin não for essencial, desative e remova-o até que uma atualização verificada esteja disponível.\n- Restrinja a conta de banco de dados usada pelo WordPress aos privilégios estritamente necessários e mantenha o núcleo do WordPress e os demais plugins atualizados.\n- Considere uma regra de firewall de aplicação web ou correção virtual como controle compensatório temporário, validada previamente em ambiente de teste.\n\n## Orientação para detecção\n\n- Revise os logs do servidor web e do WAF em busca de valores incomuns em parâmetros enviados a endpoints relacionados ao TableOn, especialmente requisições repetidas com entradas variadas que possam indicar sondagem.\n- Monitore os logs do banco de dados em busca de consultas lentas ou anômalas originadas da aplicação WordPress.\n- Faça o inventário das versões do plugin em todas as instalações WordPress para confirmar rapidamente a exposição.\n\n## Limitações das informações disponíveis\n\nO registro não fornece endpoint ou parâmetro afetado, versão corrigida, texto de aviso do fornecedor além da descrição curta, nem detalhes de prova de conceito, e não especifica o banco de dados utilizado. A pontuação CVSS vem da Patchstack, e o registro mostra o mesmo valor 9.3 sob dois rótulos de fornecedor. O status da fonte é Deferred, e a data do EPSS (2026-10-13) é posterior à data de publicação, por isso o valor do EPSS deve ser conferido na fonte atual antes do uso.

Perguntas frequentes

Quais versões do plugin TableOn são afetadas pela CVE-2026-42755?

Segundo o registro, são afetadas as versões até 1.0.5.1, inclusive. O registro não informa versão corrigida, por isso consulte a entrada da Patchstack e o fornecedor para verificar atualizações.

A CVE-2026-42755 é conhecida por ser explorada ativamente?

Não. O registro mostra que a CVE não consta no catálogo KEV da CISA, e não há indicação de exploração ativa confirmada nas fontes consultadas.

O que os administradores devem fazer agora?

Identifique as instalações afetadas, verifique se há atualização validada, remova ou desative o plugin se ele não for essencial, restrinja os privilégios do banco de dados e monitore os logs em busca de atividade suspeita.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.