CVE-2026-56036: WordPress 결제 심플페이 - Injeção de SQL não autenticada

Visão geral

Este registro CVE, publicado em 26/06/2026, descreve uma injeção de SQL não autenticada em 워드프레스 결제 심플페이 nas versões até a 5.5.6, inclusive. A fraqueza está classificada como CWE-89 (Injeção de SQL). A única referência de produto no registro aponta para uma entrada da base de dados da Patchstack.

Impacto

O vetor CVSS 3.1 do registro é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L. Ele indica vetor de ataque pela rede, baixa complexidade, sem necessidade de privilégios ou interação do usuário, escopo alterado, alto impacto na confidencialidade, sem impacto na integridade e baixo impacto na disponibilidade. A pontuação base registrada é 9.3, classificada como crítica.

De modo geral, falhas de injeção de SQL podem permitir que um atacante leia ou altere dados mantidos no banco de dados da aplicação. Quais dados seriam expostos neste caso não é descrito no registro.

Produtos e versões afetadas

A descrição indica versões até a 5.5.6, inclusive.
O registro não contém lista estruturada de versões afetadas ou corrigidas.
A única URL de referência aponta para um plugin cujo identificador é pgall-for-woocommerce, que não corresponde ao nome do produto em coreano informado na descrição. A correspondência entre os dois não foi confirmada pelas fontes.

Situação de exploração

O registro não lista esta CVE no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. A entrada EPSS do registro indica probabilidade de 0,004 com percentil de 0,32399, datada de 13/10/2026. O EPSS estima a probabilidade de atividade de exploração e não é prova de que a exploração tenha ocorrido.

Correção e mitigação

Verifique se o 워드프레스 결제 심플페이 está instalado em sites WordPress e qual versão está em uso.
O registro não informa versão corrigida. Consulte o fornecedor e a entrada da Patchstack em busca de atualização e aplique-a assim que houver release corrigida.
Se não houver correção disponível, considere desativar ou remover o componente até que o fornecedor se manifeste.
Restrinja os privilégios da conta de banco de dados ao mínimo necessário e utilize proteções de firewall de aplicação web, conforme recomendado pelo fornecedor ou pela equipe de segurança.
Mantenha o núcleo do WordPress e os demais plugins atualizados para reduzir a superfície de ataque.

Orientação para detecção

Revise os logs do servidor web e da aplicação em busca de padrões de requisição incomuns direcionados a endpoints relacionados a pagamentos.
Procure erros de banco de dados ou falhas inesperadas de consulta que possam indicar entradas malformadas chegando à camada de dados.
Monitore alterações inesperadas em registros de pagamento ou de usuários e volumes incomuns de acesso ao banco de dados.

Limitações das informações disponíveis

O status da fonte no NVD é Deferred, portanto a análise pode estar incompleta.
O registro não informa nome do fornecedor, versão corrigida nem componente afetado em detalhe.
O nome do produto na descrição e o identificador do plugin na referência não correspondem.
Não há detalhes técnicos além da classificação, e esta análise não acrescenta nenhum.

Perguntas frequentes

O que é a CVE-2026-56036?

É um registro CVE que descreve uma injeção de SQL não autenticada (CWE-89) em 워드프레스 결제 심플페이 nas versões até a 5.5.6, inclusive.

Esta vulnerabilidade está sendo explorada ativamente?

O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Existe versão corrigida?

O registro não informa versão corrigida. Consulte o fornecedor e a entrada da Patchstack para verificar atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.