CVE-2026-56062: SQL Injection não autenticada no Quotes llama
Uma falha de SQL Injection não autenticada (CWE-89) afeta o Quotes llama nas versões até 3.1.5 inclusive. O CNA Patchstack classificou a severidade como crítica, com pontuação CVSS 3.1 de 9.3. O registro não indica inclusão no catálogo CISA KEV nem versão corrigida.
Visão geral
O registro descreve uma SQL Injection não autenticada no plugin Quotes llama, que afeta as versões até 3.1.5 inclusive. A fraqueza atribuída é a CWE-89 (SQL Injection). A referência da Patchstack está hospedada em sua base de plugins para WordPress, o que sugere que o produto é um plugin WordPress.
Impacto
- Confidencialidade: classificada como Alta no vetor CVSS.
- Integridade: classificada como Nenhuma no vetor CVSS.
- Disponibilidade: classificada como Baixa no vetor CVSS.
- Escopo: classificado como Alterado no vetor CVSS.
Falhas de SQL Injection podem permitir a leitura ou a modificação não autorizada de dados do banco. O registro não descreve quais dados específicos poderiam ser expostos.
Produtos e versões afetadas
O registro informa que o Quotes llama nas versões até 3.1.5 inclusive é afetado. As listas estruturadas de versões afetadas e de correções estão vazias, portanto os identificadores de versão do fabricante e qualquer versão corrigida não estão confirmados.
Status de exploração
O catálogo CISA KEV não lista este CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro indica probabilidade EPSS de 0.004, com percentil de 0.324.
Correção e mitigação
- Identifique todos os sites que usam o Quotes llama e confirme a versão instalada.
- Consulte a página da Patchstack e os canais do fabricante em busca de uma versão corrigida, pois o registro não informa nenhuma.
- Se não houver correção disponível, considere desativar ou remover o plugin até que uma atualização suportada seja confirmada.
- Como medidas provisórias, limite a exposição pública dos sites afetados e considere proteções de firewall de aplicação contra padrões de SQL Injection.
- Aplique o princípio do menor privilégio às contas de banco de dados usadas pelo site.
Orientação para detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns ao plugin, especialmente com valores de parâmetros inesperados.
- Observe mensagens de erro de banco de dados devolvidas a clientes e atividade inesperada de consultas.
- Monitore alterações não explicadas nos dados gerenciados pelo plugin.
Limitações das informações disponíveis
O registro não possui título, listas estruturadas de versões afetadas ou corrigidas e nenhum pronunciamento do fabricante. Seu status de fonte é Deferred. A pontuação CVSS vem do CNA audit@patchstack.com, e o registro não mostra outro provedor de pontuação. A data do EPSS é posterior à data de publicação.
Perguntas frequentes
Esta vulnerabilidade está sendo explorada?
O registro não a lista no CISA KEV, e nenhuma exploração confirmada aparece nas fontes consultadas.
Há uma versão corrigida disponível?
O registro não informa nenhuma versão corrigida. Consulte a página da Patchstack e os canais do fabricante para verificar atualizações.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.