CVE-2026-54825: wpDataTables: injeção de SQL não autenticada
Uma falha de injeção de SQL não autenticada (CWE-89) afeta o wpDataTables na versão 7.4 e anteriores, conforme o registro. A CNA Patchstack atribuiu nota 9.3 (crítica) pelo CVSS 3.1. O registro não informa versão corrigida e não há exploração confirmada nas fontes consultadas.
Visão geral
Foi publicada uma vulnerabilidade crítica de injeção de SQL (CWE-89) no plugin WordPress wpDataTables. De acordo com o registro, ela pode ser acionada sem autenticação nas versões 7.4 e anteriores. A CVE foi publicada pela Patchstack, atuando como CNA.
Impacto
- A pontuação base CVSS 3.1 registrada pela CNA é 9.3, com vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário.
- O vetor indica alto impacto na confidencialidade, nenhum impacto na integridade e baixo impacto na disponibilidade, com escopo alterado.
- A injeção de SQL pode expor o conteúdo do banco de dados. Os dados acessíveis dependem do caminho de código vulnerável, que o registro não detalha.
Produtos e versões afetadas
- O registro descreve o wpDataTables nas versões 7.4 e anteriores.
- As listas estruturadas de versões afetadas e corrigidas estão vazias. Confirme a faixa afetada na entrada da Patchstack e com o fornecedor antes de tirar conclusões.
Status de exploração
O registro indica que esta CVE não consta no catálogo CISA KEV. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0.004, com percentil 0.32419, o que indica baixa probabilidade prevista de exploração no curto prazo.
Correção e mitigação
- O registro não informa versão corrigida. Consulte a entrada da Patchstack e as notas de versão do fornecedor para identificar uma release corrigida antes de definir o caminho de atualização.
- Planeje a atualização do wpDataTables para uma versão que o fornecedor confirme como corrigida, testando antes em ambiente de homologação.
- Enquanto a correção não estiver disponível, reduza a exposição: desative o plugin se ele não for necessário, restrinja o acesso às suas funções sempre que possível e aplique proteções de firewall de aplicação de um provedor confiável.
- Aplique o princípio do menor privilégio à conta de banco de dados usada pelo site e mantenha backups verificados.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de parâmetros incomuns ou malformados enviados às funções do wpDataTables.
- Observe mensagens de erro de banco de dados ou comportamento inesperado de consultas relatado pela aplicação.
- Acompanhe alterações inesperadas em contas de administrador, conteúdos ou arquivos do plugin.
Limitações das informações disponíveis
- O registro não possui dados estruturados de versões afetadas ou corrigidas e não traz detalhes técnicos específicos do fornecedor.
- O título do registro está ausente e o status da fonte consta como Deferred.
- Os endpoints afetados, as condições necessárias e o impacto exato sobre os dados não são descritos nas fontes consultadas.
Perguntas frequentes
Há uma versão corrigida informada para esta CVE?
Não. O registro não informa versão corrigida, então consulte a entrada da Patchstack e as notas de versão do fornecedor antes de decidir pela atualização.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que ela não consta no catálogo CISA KEV, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.