CVE-2026-54820: JetBooking: injeção de SQL não autenticada
O CVE-2026-54820 é uma injeção de SQL não autenticada (CWE-89) no JetBooking nas versões até a 4.0.4.1, conforme descrito pelo CNA Patchstack. O CNA atribuiu pontuação base CVSS 3.1 de 9.3 (crítica). O registro não traz dados estruturados de versões afetadas ou corrigidas, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O CNA Patchstack relata uma vulnerabilidade de injeção de SQL não autenticada (CWE-89) no JetBooking nas versões até a 4.0.4.1, inclusive. A referência Patchstack citada aponta para uma entrada de banco de dados de vulnerabilidades em um caminho de plugin WordPress, o que sugere que o produto é um plugin WordPress.
Impacto
- A pontuação base CVSS 3.1 atribuída pelo CNA é 9.3 (crítica). O vetor descreve ataque pela rede, baixa complexidade, sem privilégios e sem interação do usuário.
- O vetor indica alto impacto na confidencialidade, nenhum na integridade e baixo na disponibilidade. Isso sugere que a principal preocupação é a leitura não autorizada de dados do banco, o que é uma inferência a partir do vetor.
Produtos e versões afetadas
- Produto: JetBooking, nas versões até a 4.0.4.1, inclusive, conforme a descrição.
- O registro não traz lista estruturada de versões afetadas ou corrigidas.
Status de exploração
- O registro não lista este CVE no catálogo KEV da CISA.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- A probabilidade EPSS é 0.004, com percentil de 0.32423, datada de 2026-10-13.
Correção e mitigação
- Nenhuma versão corrigida está listada no registro. Isso não significa que não exista correção. Verifique o fornecedor e o aviso da Patchstack para atualizações.
- Enquanto uma correção não for confirmada, considere reduzir a exposição do componente afetado e revisar as orientações do fornecedor.
- Mantenha cópias de segurança verificadas do banco de dados e do site antes de aplicar qualquer alteração.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de valores de parâmetros incomuns ou mensagens de erro de banco de dados em requisições relacionadas a reservas.
- Monitore consultas inesperadas ao banco, alterações de dados ou exportações não esperadas.
Limitações das informações disponíveis
- O registro não traz faixas estruturadas de versões afetadas, versões corrigidas nem texto do aviso do fornecedor.
- Os endpoints e parâmetros vulneráveis exatos não são descritos no registro.
- O status de exploração além da ausência no KEV é desconhecido.
Perguntas frequentes
O que é o CVE-2026-54820?
É uma injeção de SQL não autenticada (CWE-89) no JetBooking nas versões até a 4.0.4.1, inclusive, conforme descrito pelo CNA Patchstack.
Qual a gravidade segundo o registro?
O CNA atribuiu pontuação base CVSS 3.1 de 9.3, classificada como crítica. O vetor indica ataque pela rede, sem privilégios e sem interação do usuário.
Há exploração conhecida deste CVE?
O registro não o lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Existe versão corrigida?
O registro não lista versão corrigida. Isso não significa que não exista correção, por isso verifique o fornecedor e o aviso da Patchstack.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.