CVE-2026-56067: Injeção de SQL sem autenticação no plugin JetSmartFilters

Visão geral

A CVE-2026-56067 é uma vulnerabilidade de injeção de SQL sem autenticação (CWE-89) no JetSmartFilters, um plugin do WordPress. Segundo o registro, ela afeta as versões até 3.8.3, inclusive. O registro foi publicado em 2026-06-26 e o status na fonte é Deferred. A única referência listada é a entrada na base da Patchstack.

Impacto

A injeção de SQL pode permitir que um atacante interfira nas consultas ao banco de dados feitas pela aplicação. A CNA classificou o problema com pontuação 9.3 (crítica) no CVSS 3.1, com vetor de rede, baixa complexidade, sem necessidade de privilégios e sem interação do usuário. O vetor indica alto impacto na confidencialidade, nenhum impacto na integridade, baixo impacto na disponibilidade e escopo alterado. Essas pontuações vêm somente da CNA; o registro não traz avaliação independente.

Produtos e versões afetados

• Produto: JetSmartFilters (plugin do WordPress)
• Intervalo afetado informado: versões até 3.8.3, inclusive
• Versão corrigida: não informada no registro

O registro não possui lista estruturada de versões afetadas ou corrigidas. Confirme o intervalo exato e eventuais versões corrigidas com o fornecedor e com a entrada da Patchstack.

Status de exploração

O registro indica que esta CVE não consta no catálogo KEV da CISA. Não há evidência confirmada de exploração ativa nas fontes consultadas. A estimativa EPSS presente no registro (probabilidade 0,00454, percentil 0,37693, data 2026-10-13) representa uma probabilidade prevista, não atividade observada.

Correção e mitigação

• Faça o inventário de todos os sites com JetSmartFilters e registre a versão instalada.
• Verifique no fornecedor e na entrada da Patchstack se existe uma versão posterior a 3.8.3 e aplique-a assim que estiver validada.
• Se não houver versão corrigida disponível, considere desativar temporariamente o plugin ou restringir o acesso às funcionalidades expostas.
• Use regras de firewall de aplicação web apenas como controle compensatório enquanto o plugin não é atualizado, e não como substituto da correção.
• Revise outros plugins do WordPress nos mesmos sites em busca de exposição semelhante.

Orientações de detecção

• Analise os logs do servidor web e da aplicação em busca de valores de parâmetros incomuns ou mensagens de erro de banco de dados fora do padrão em requisições tratadas pelo JetSmartFilters.
• Monitore alterações inesperadas em conteúdo do site, contas de usuário ou registros do banco de dados.
• Mantenha backups atualizados e verifique se é possível restaurá-los.

Limitações das informações disponíveis

O registro não fornece intervalo estruturado de versões afetadas, versão corrigida, detalhes técnicos do fornecedor sobre o parâmetro ou o trecho de código vulnerável, nem dados de telemetria de exploração. Esses pontos são desconhecidos e devem ser confirmados com o fornecedor e com a Patchstack antes de se concluir sobre a exposição.

Perguntas frequentes

Quais versões do JetSmartFilters são afetadas pela CVE-2026-56067?

O registro informa versões até 3.8.3, inclusive. Ele não traz uma lista estruturada de versões afetadas, então confirme o intervalo com o fornecedor e com a entrada da Patchstack.

A CVE-2026-56067 está sendo explorada ativamente?

O registro não a lista no KEV da CISA e não há evidência confirmada de exploração nas fontes consultadas. O valor EPSS é uma probabilidade prevista, não prova de ataques.

O que os administradores de sites devem fazer agora?

Identifique as instalações, verifique se há versão corrigida posterior a 3.8.3 e aplique-a após validação. Se não houver correção, considere desativar o plugin ou restringir o acesso e monitorar os logs.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.