CVE-2026-56034: Library Management System até 3.5.7 - Injeção de SQL não autenticada

Visão geral

A Patchstack publicou a CVE-2026-56034, que descreve uma injeção de SQL não autenticada no Library Management System em versões até 3.5.7 inclusive. A fraqueza é classificada como CWE-89 (Injeção de SQL).

Impacto

A pontuação base CVSS 3.1 atribuída pela CNA é 9.3 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L.
Segundo o vetor, a exploração ocorre pela rede, não exige privilégios nem interação do usuário, e tem alto impacto na confidencialidade e baixo impacto na disponibilidade.
Injeções de SQL podem permitir leitura ou alteração de dados do banco, conforme a configuração da aplicação e da conta de banco de dados. O registro não detalha quais dados seriam afetados.

Produtos e versões afetadas

Produto: Library Management System, em versões até 3.5.7 inclusive, conforme a descrição.
O registro não contém dados estruturados de versões afetadas ou corrigidas, portanto o limite inferior exato e qualquer versão corrigida são desconhecidos.
O caminho da referência da Patchstack indica um plugin do WordPress, o que sugere que o produto é distribuído como plugin para WordPress. Trata-se de uma inferência, não de um fato confirmado.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro.
Não há exploração confirmada nas fontes consultadas.
O EPSS informa probabilidade de 0.004 e percentil de 0.32415, com data de 2026-10-13 no registro.

Correção e mitigação

Identifique qualquer instalação do Library Management System e sua versão. Considere versões até 3.5.7 como vulneráveis até que o fornecedor ou o mantenedor do plugin confirme uma versão corrigida.
Acompanhe a referência da Patchstack e os canais do fornecedor para uma versão atualizada e aplique-a assim que disponível.
Enquanto não houver correção, avalie restringir o acesso a pontos administrativos e de entrada pública, quando possível, e revise os privilégios da conta de banco de dados usada pela aplicação para limitar o impacto de uma injeção.
Mantenha backups verificados antes de realizar alterações.

Orientação para detecção

Revise os logs do servidor web e da aplicação em busca de valores de parâmetros incomuns ou malformados direcionados à aplicação, e de erros de banco de dados retornados nas respostas web.
Monitore atividades inesperadas no banco de dados ou exportações de dados originadas da conta usada pela aplicação web.
Uma regra de firewall de aplicação web que sinalize metacaracteres SQL nas entradas pode servir como controle compensatório temporário, mas não substitui a correção.

Limitações das informações disponíveis

O registro não contém versão corrigida, detalhes de aviso do fornecedor além da referência da Patchstack, nem dados sobre disponibilidade de exploits.
O título está ausente no registro de origem; os títulos usados aqui foram derivados da descrição.
O status da fonte é Deferred, portanto os detalhes podem mudar à medida que as fontes forem atualizadas.
Não é possível saber se um ambiente específico está exposto.

Perguntas frequentes

O que é a CVE-2026-56034?

É um registro que descreve uma injeção de SQL não autenticada no Library Management System em versões até 3.5.7 inclusive, classificada como CWE-89.

Qual a gravidade segundo o registro?

A CNA Patchstack atribuiu pontuação base CVSS 3.1 de 9.3, classificada como Crítica, com vetor de rede e sem exigência de privilégios ou interação do usuário.

Há exploração ativa?

A CVE não aparece no catálogo KEV da CISA neste registro, e não há exploração confirmada nas fontes consultadas.

Existe versão corrigida?

O registro não informa versão corrigida. Consulte o fornecedor ou o mantenedor do plugin e acompanhe a referência da Patchstack para atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.