CVE-2026-54827: Tema Real Estate 7 - Injeção de SQL sem autenticação
A CVE-2026-54827 é uma injeção de SQL crítica e não autenticada no Real Estate 7, descrita como afetando versões até 3.5.9. O registro não informa versão corrigida e não há exploração confirmada nas fontes consultadas. Defensores devem verificar as versões instaladas e aplicar medidas gerais de reforço até que haja orientação do fornecedor.
Visão geral
A CVE-2026-54827 é uma vulnerabilidade crítica de injeção de SQL (CWE-89) relatada no Real Estate 7, descrita como não autenticada e afetando versões até 3.5.9 inclusive. O registro foi publicado em 2026-06-26 pelo CNA audit@patchstack.com, e o caminho da referência sugere um tema para WordPress.
Impacto
- Uma injeção de SQL não autenticada pode permitir interação com o banco de dados da aplicação sem login.
- A pontuação base CVSS 3.1 de 9.3 foi informada pelo CNA. Pelo vetor do registro, ela indica alto impacto na confidencialidade e baixo na disponibilidade, com escopo alterado.
- A exposição real de dados depende da configuração do site e das permissões do banco, o que as fontes não descrevem.
Produtos e versões afetadas
- Produto: Real Estate 7, aparentemente um tema para WordPress com base no caminho da referência da Patchstack.
- Faixa descrita: versões até 3.5.9 inclusive.
- A lista de produtos afetados no registro está vazia, portanto a faixa confirmada pelo fornecedor e qualquer versão corrigida são desconhecidas.
Status de exploração
Segundo o registro, a CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. O EPSS informa probabilidade de 0.004 e percentil de 0.3241 no registro.
Correção e mitigação
- Verifique se o site utiliza o Real Estate 7 e qual versão exata está instalada.
- Consulte a entrada da Patchstack e os canais do fornecedor em busca de versão atualizada, já que o registro não informa versão corrigida.
- Até que uma correção seja confirmada, considere restringir o acesso ao componente afetado, revisar as proteções de firewall de aplicação web e limitar os privilégios das contas de banco de dados. São medidas gerais, não orientação do fornecedor.
- Mantenha backups verificados.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de valores incomuns de parâmetros enviados a componentes do tema, especialmente mensagens de erro repetidas do banco de dados.
- Monitore atividade inesperada no banco e alterações de conteúdo não autorizadas.
- As fontes consultadas não publicam indicadores de comprometimento.
Limitações das informações disponíveis
- O registro não tem versão corrigida, a lista de produtos afetados está vazia e não há texto de aviso do fornecedor além da descrição curta.
- O campo de título está vazio no registro, e o status da fonte é Deferred.
- Não se sabe se o registro será atualizado.
Perguntas frequentes
A vulnerabilidade pode ser explorada sem login?
O registro a descreve como não autenticada. Ele não traz mais detalhes técnicos, e esta análise não descreve passos de ataque.
Existe uma versão corrigida?
O registro não informa versão corrigida. Consulte a entrada da Patchstack e os canais do fornecedor, pois a ausência de correção listada não significa que ela não exista.
Há registro de exploração?
O registro indica que a CVE não consta no KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.