CVE-2026-62022: Plugin Tonda Membership para WordPress - Escalonamento de Privilégios sem Autenticação
A CVE-2026-62022 descreve uma falha de escalonamento de privilégios sem autenticação no plugin Tonda Membership para WordPress, nas versões até 1.0.1 inclusive. O registro atribui pontuação CVSS 3.1 de 9,8 (crítica) e não lista versão corrigida. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.
Visão geral
A CVE-2026-62022 é uma vulnerabilidade de escalonamento de privilégios no plugin Tonda Membership para WordPress, que afeta as versões até 1.0.1 inclusive. Segundo o registro, ela pode ser acionada sem autenticação. A CNA é a Patchstack, e o registro também aparece na entrada da NVD e no registro da CVE.org.
Impacto
- O registro informa pontuação base CVSS 3.1 de 9,8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, o que indica alto impacto em confidencialidade, integridade e disponibilidade.
- Os dados SSVC do registro indicam impacto técnico total e automatizável como sim.
- Uma falha de escalonamento de privilégios pode permitir que uma parte não autenticada obtenha privilégios superiores aos previstos em um site afetado. O registro não descreve quais privilégios podem ser obtidos.
Produtos e versões afetadas
- Produto: Select-Themes Tonda Membership.
- Faixa afetada: até 1.0.1 inclusive.
- O registro não lista versão corrigida. Isso é desconhecido, e não indica que não exista correção. Consulte a entrada da Patchstack.
Status de exploração
A CVE não consta no catálogo KEV da CISA. O registro mostra probabilidade EPSS de 0,00331 (percentil 0,25017) em 2026-10-23, e a exploração no SSVC está como nenhuma. Não há exploração confirmada nas fontes consultadas.
Correção e mitigação
- Identifique todos os sites que executam o Tonda Membership na versão 1.0.1 ou anterior.
- Verifique o fornecedor e a entrada da Patchstack em busca de atualização, pois o registro não informa versão corrigida.
- Se não houver correção e o plugin não for essencial, desative e remova-o.
- Revise contas de administrador e mudanças recentes de função, restringindo o acesso privilegiado sempre que possível.
Orientação para detecção
- Revise listas de usuários em busca de contas recém-criadas ou mudanças inesperadas de função, especialmente as que concedem direitos de administrador.
- Verifique os logs do servidor web e da aplicação em busca de atividade incomum em funções ligadas à associação, sobretudo próximo a alterações suspeitas de contas.
- Monitore alterações inesperadas nas configurações do plugin ou nas permissões dos usuários.
Limitações das informações disponíveis
- O registro não descreve a função vulnerável, as condições necessárias para explorá-la nem os privilégios que um atacante poderia obter.
- O nome do CWE está vazio no registro; somente o identificador CWE-266 é informado.
- O registro não lista versão corrigida, release de correção nem aviso do fornecedor.
- O status da fonte no registro é Deferred.
- O campo de origem do CVSS contém um e-mail em vez do nome de uma organização. A pontuação é apresentada conforme registrada.
Perguntas frequentes
O que é a CVE-2026-62022?
É uma vulnerabilidade de escalonamento de privilégios no plugin Tonda Membership para WordPress, que afeta as versões até 1.0.1 inclusive. O registro indica que pode ser acionada sem autenticação.
Existe versão corrigida?
O registro não lista versão corrigida. Verifique o fornecedor e a entrada da Patchstack em busca de atualização. A ausência de correção listada não confirma que ela não exista.
Esta vulnerabilidade está sendo explorada ativamente?
A CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. O registro mostra probabilidade EPSS de 0,00331.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.