CVE-2026-54849: Injeção de SQL não autenticada no Premmerce Wishlist para WooCommerce
A CVE-2026-54849 é uma falha de injeção de SQL não autenticada no plugin Premmerce Wishlist para WooCommerce, descrita para versões até a 1.1.11 inclusive. O CNA a classificou como crítica, com pontuação base CVSS 3.1 de 9.3. O registro não informa versão corrigida, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-54849 descreve uma vulnerabilidade de injeção de SQL não autenticada (CWE-89) no plugin Premmerce Wishlist para WooCommerce, voltado ao WordPress. O registro foi publicado em 2026-06-25 e seu status na fonte é Deferred.
Impacto
A pontuação CVSS 3.1 de 9.3, informada pelo CNA, indica uma falha acessível pela rede, de baixa complexidade, que não exige privilégios nem interação do usuário. O escopo é marcado como alterado, com alto impacto na confidencialidade, sem impacto na integridade e baixo impacto na disponibilidade. As consequências práticas dependem do conteúdo do banco de dados e da configuração do site, que o registro não descreve.
Produtos e versões afetados
- Produto: Premmerce Wishlist para WooCommerce (plugin do WordPress)
- Faixa informada: versões até a 1.1.11 inclusive
- A lista de afetados do registro está vazia, portanto o limite inferior exato e qualquer versão corrigida são desconhecidos.
Status de exploração
Segundo o registro, esta CVE não consta no catálogo KEV da CISA. Nenhuma exploração ativa confirmada ou exploração in the wild aparece nas fontes consultadas. Dados do EPSS não estão disponíveis no registro.
Correção e mitigação
- Identifique se o plugin está instalado em algum site WordPress e registre a versão instalada.
- Consulte a entrada da Patchstack e os canais de atualização do fornecedor em busca de uma versão corrigida, pois o registro não informa nenhuma.
- Se não houver correção verificada, avalie desativar o plugin em sites onde a lista de desejos não seja essencial.
- Restrinja os privilégios da conta de banco de dados ao mínimo necessário e mantenha backups atuais e testados.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de parâmetros incomuns ou requisições malformadas enviadas a endpoints da lista de desejos.
- Monitore mensagens de erro do banco de dados e padrões de consulta inesperados.
- Compare os arquivos do plugin com uma cópia limpa conhecida para identificar alterações não autorizadas.
Limitações das informações disponíveis
O registro não contém aviso do fornecedor, limite inferior das versões afetadas, versão corrigida, identificação do parâmetro vulnerável nem dados de exploração. Esta análise se baseia na descrição da CVE, na pontuação do CNA e na referência da Patchstack.
Perguntas frequentes
Quais versões do Premmerce Wishlist para WooCommerce são afetadas pela CVE-2026-54849?
O registro descreve o problema para versões até a 1.1.11 inclusive. O limite inferior exato da faixa afetada não consta no registro.
Existe uma versão corrigida disponível?
O registro não informa versão corrigida. Consulte a entrada da Patchstack e os canais de atualização do fornecedor para informações atuais.
Há registro de exploração desta vulnerabilidade?
O registro não lista esta CVE no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.