CVE-2026-54831: Injeção de SQL não autenticada no plugin WordPress GeoDirectory

Visão geral

A CVE-2026-54831 descreve uma vulnerabilidade de injeção de SQL não autenticada (CWE-89) no plugin GeoDirectory para WordPress. O registro foi publicado em 26/06/2026 e foi reportado pela CNA Patchstack. A classe da vulnerabilidade permite alterar a lógica de consultas ao banco de dados por meio de entradas não confiáveis, o que explica a classificação crítica.

Impacto

O vetor CVSS 3.1 registrado pela CNA é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L. Ele indica acesso pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, escopo alterado, alto impacto na confidencialidade, sem impacto na integridade e baixo impacto na disponibilidade. A consequência prática provável é a leitura não autorizada de dados armazenados no banco do site, mas o registro não descreve dados específicos afetados.

Produtos e versões afetadas

Plugin GeoDirectory para WordPress, em versões até a 2.8.162 inclusive, conforme a descrição do registro.
O registro não informa versão corrigida. A ausência de uma correção listada não significa que ela não exista; consulte o fornecedor e o aviso da Patchstack.

Status de exploração

O registro indica que o item não consta no catálogo KEV. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A probabilidade EPSS registrada é 0,004, com percentil 0,32422, que é uma estimativa estatística e não evidência de exploração.

Correção e mitigação

Identifique se há sites com o plugin GeoDirectory e compare a versão instalada com a faixa afetada.
Atualize para uma versão posterior à 2.8.162 quando o fornecedor confirmar que ela contém a correção; o registro não identifica a versão corrigida.
Se a atualização não for possível de imediato, considere desativar temporariamente o plugin ou restringir o acesso às funcionalidades afetadas, e aplique regras de firewall de aplicação web de seu provedor como controle compensatório.
Limite os privilégios da conta de banco de dados usada pelo WordPress para reduzir o impacto de eventual injeção.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições incomuns aos endpoints do GeoDirectory, especialmente valores inesperados de parâmetros ou picos de tráfego de origens desconhecidas.
Observe mensagens de erro de banco de dados ou atividade anômala de consultas nos logs.
Verifique a integridade dos arquivos e revise contas administrativas caso haja suspeita de comprometimento.

Limitações das informações disponíveis

O registro não identifica o parâmetro, endpoint ou função vulnerável.
Não há versão corrigida informada.
A entrada do NVD é referenciada, mas o registro apresenta apenas a pontuação da Patchstack; não há outra pontuação do NVD no registro.
O status de origem do registro é Deferred, por isso análises adicionais podem alterar as informações.

Perguntas frequentes

Quais versões do GeoDirectory são afetadas pela CVE-2026-54831?

O registro descreve o problema como afetando versões do GeoDirectory até a 2.8.162 inclusive. Como o registro não informa versão corrigida, consulte o aviso do fornecedor antes de decidir pela atualização.

A CVE-2026-54831 está sendo explorada ativamente?

O registro indica que a vulnerabilidade não consta no catálogo KEV, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Qual é a gravidade da CVE-2026-54831?

A CNA Patchstack atribuiu pontuação base CVSS 3.1 de 9.3, classificada como crítica, com vetor de rede e sem necessidade de privilégios.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.