CVE-2026-54843: Injeção de SQL não autenticada no plugin MDTF
A CVE-2026-54843 descreve uma falha de injeção de SQL não autenticada (CWE-89) nas versões do MDTF até a 1.3.7 inclusive. O CNA atribuiu pontuação base crítica de 9,3 no CVSS v3.1, com vetor que indica acesso pela rede, baixa complexidade, sem privilégios e sem interação do usuário. Nas fontes consultadas não há versão corrigida confirmada nem exploração confirmada.
Visão geral
A CVE-2026-54843 é uma vulnerabilidade crítica de injeção de SQL (CWE-89) reportada em versões do MDTF até a 1.3.7 inclusive. O registro foi publicado em 2026-06-25 pelo CNA audit@patchstack.com e aparece com status de fonte Deferred.
Impacto
- O CNA atribuiu pontuação 9,3 no CVSS v3.1, com componentes de vetor que indicam alto impacto na confidencialidade, sem impacto na integridade e baixo impacto na disponibilidade.
- A descrição afirma que a falha é não autenticada, o que é coerente com os valores de vetor sem privilégios e sem interação do usuário.
- As consequências práticas dependem da configuração do banco de dados e do que o código afetado expõe, detalhes que as fontes não descrevem.
Produtos e versões afetadas
- Produto: MDTF. A URL de referência aponta para uma entrada de banco de dados de plugins do WordPress, o que sugere que o produto é um plugin WordPress (inferência).
- Faixa afetada: versões até a 1.3.7 inclusive, conforme a descrição.
- O registro não contém dados estruturados de versões afetadas ou corrigidas.
Status de exploração
O registro não lista esta CVE no catálogo KEV da CISA. Não há exploração confirmada na natureza nas fontes consultadas, e não há dados de EPSS disponíveis.
Correção e mitigação
- Faça o inventário de todas as instalações do MDTF e compare as versões com a faixa indicada no registro.
- Verifique na entrada de referência do fornecedor se existe versão corrigida e aplique-a assim que for confirmada.
- Se não houver correção disponível, considere desativar temporariamente o componente em sites expostos à internet até que haja orientação oficial. Trata-se de medida defensiva geral, não de correção verificada.
- Aplique o princípio do menor privilégio às contas de banco de dados usadas pelo site e considere proteções em firewall de aplicação web como defesa em profundidade.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de entradas incomuns ou malformadas direcionadas às funcionalidades do MDTF.
- Monitore mensagens de erro do banco de dados e atividade de consultas inesperada originada da aplicação web.
- Audite as contas de banco de dados usadas pelo site e remova privilégios desnecessários.
Limitações das informações disponíveis
As fontes não informam a versão corrigida, o componente ou parâmetro vulnerável, o texto completo do aviso do fornecedor, nem dados de EPSS ou SSVC. Não é possível determinar apenas pelo registro se uma implantação específica é afetada.
Perguntas frequentes
Quais versões do MDTF são descritas como afetadas pela CVE-2026-54843?
A descrição indica versões do MDTF até a 1.3.7 inclusive. O registro não traz dados estruturados de versões afetadas.
Existe correção confirmada ou exploração ativa conhecida?
O registro não contém versão corrigida e a CVE não consta no catálogo KEV da CISA. Não há exploração confirmada na natureza nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.