CVE-2026-56070: Advance Product Search - Injeção de SQL não autenticada
A CVE-2026-56070 descreve uma injeção de SQL não autenticada no Advance Product Search nas versões menores ou iguais a 1.4.4, classificada como CWE-89. O CNA audit@patchstack.com atribuiu pontuação base CVSS 3.1 de 9.3 (crítica), com vetor de rede e sem necessidade de privilégios ou interação do usuário. O registro não informa versão corrigida nem lista de produtos afetados, e a falha não consta no catálogo KEV da CISA.
Visão geral
A CVE-2026-56070 é uma vulnerabilidade de injeção de SQL não autenticada no Advance Product Search, que segundo o registro afeta versões menores ou iguais a 1.4.4. A fraqueza é classificada como CWE-89 (Injeção de SQL). O aviso da Patchstack indica um plugin do WordPress, o que sugere que o produto é um plugin WordPress; trata-se de inferência a partir da URL.
Impacto
- Confidencialidade: o vetor CVSS indica alto impacto.
- Integridade: o vetor CVSS não indica impacto.
- Disponibilidade: o vetor CVSS indica baixo impacto.
- Como não há exigência de autenticação, uma parte remota que alcance a funcionalidade vulnerável pode tentar explorar a falha. Isso é inferência a partir das métricas de rede e de ausência de privilégios.
Produtos e versões afetados
- Produto: Advance Product Search.
- Intervalo informado no registro: versões menores ou iguais a 1.4.4.
- A lista de itens afetados do registro está vazia, portanto os identificadores exatos de pacote e a menor versão afetada são desconhecidos.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Nenhuma exploração ativa confirmada aparece nas fontes consultadas. A probabilidade EPSS é de 0,004 (percentil 0,32424), que é uma estimativa estatística e não evidência de exploração.
Correção e mitigação
- Consulte o aviso da Patchstack e os canais do fornecedor em busca de uma versão corrigida posterior a 1.4.4, já que o registro não informa uma.
- Enquanto a correção não for verificada, considere desativar o plugin se ele não for essencial e restrinja o acesso público às funcionalidades de busca, quando possível.
- Aplique regras de firewall de aplicação web contra injeção de SQL para o plugin afetado, caso seu provedor ofereça.
- Limite a conta de banco de dados usada pelo site ao mínimo de privilégios necessário.
- Mantenha backups atualizados e verifique se os procedimentos de restauração funcionam.
Orientação para detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns às funções de busca do plugin, como parâmetros de tamanho anormal ou mensagens de erro de banco de dados devolvidas ao cliente.
- Monitore erros inesperados de banco de dados, novas contas administrativas ou alterações não planejadas de conteúdo.
- Correlacione os achados com os logs do WAF, se houver um firewall de aplicação web em uso.
Limitações das informações disponíveis
- O registro não informa versões afetadas além do intervalo declarado, versões corrigidas, detalhes do produto junto ao fornecedor nem o parâmetro vulnerável.
- O status da fonte é Deferred, portanto o registro pode mudar.
- A pontuação CVSS é fornecida pelo CNA audit@patchstack.com; o registro não mostra uma pontuação separada atribuída pelo NVD.
- A disponibilidade de correção é desconhecida.
Perguntas frequentes
O que é a CVE-2026-56070?
É uma vulnerabilidade de injeção de SQL não autenticada no Advance Product Search, que afeta versões menores ou iguais a 1.4.4, classificada como CWE-89.
Há exploração ativa confirmada?
O registro indica que a falha não consta no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O valor EPSS é 0,004.
Existe versão corrigida?
O registro não informa versão corrigida. Consulte o aviso da Patchstack e o fornecedor para verificar atualizações posteriores a 1.4.4.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.