CVE-2026-96327: Plugin WPLMS para WordPress (VibeThemes) - Injeção de SQL
O plugin WPLMS da VibeThemes, para WordPress, apresenta uma falha de injeção de SQL (CWE-89) que, segundo o registro, permite SQL injection cego. A faixa afetada é listada como anterior a 1.9.9.8.2, e a CNA Patchstack atribui pontuação base CVSS de 9.3 (crítica). Não há exploração confirmada nas fontes consultadas, e os dados estruturados de correção estão vazios, por isso as notas de versão do fornecedor devem ser conferidas.
Visão geral
O plugin WPLMS da VibeThemes, para WordPress, contém uma falha de injeção de SQL classificada como CWE-89. O registro descreve que ela permite SQL injection cego. A CNA é a Patchstack, e a entrada correspondente está disponível na base de vulnerabilidades da Patchstack.
Impacto
- O registro atribui pontuação base CVSS de 9.3, classificada como crítica. O vetor indica acesso pela rede, baixa complexidade, nenhum privilégio e nenhuma interação do usuário necessários, escopo alterado, alto impacto na confidencialidade, sem impacto na integridade e baixo impacto na disponibilidade.
- A injeção de SQL cega pode permitir que um agente não autorizado deduza informações do banco de dados de forma indireta. O registro não informa quais dados ficariam expostos.
- Os valores de EPSS e SSVC do registro indicam baixa probabilidade modelada de exploração, mas esses números não substituem a avaliação de severidade.
Produtos e versões afetados
- Produto: VibeThemes WPLMS (plugin para WordPress, identificador wplms_plugin).
- Faixa afetada: anterior a 1.9.9.8.2. O registro não informa um limite inferior, usando n/a.
- A descrição situa o limite em 1.9.9.8.2, mas o campo estruturado de correções está vazio. Trate o limite como informado pela fonte e confirme com o fornecedor.
Status de exploração
- O catálogo KEV da CISA não lista este CVE no registro.
- Não há exploração ativa confirmada nas fontes consultadas.
- O EPSS indica probabilidade de 0.0025, com percentil de 0.1542, data de 2026-10-23.
- O registro SSVC mostra exploração como none e automatizável como yes.
Correção e mitigação
- Identifique todos os sites que utilizam WPLMS e confirme a versão instalada.
- Atualize o WPLMS para 1.9.9.8.2 ou uma versão posterior, seguindo a orientação do fornecedor.
- Se a atualização não puder ser aplicada de imediato, desative o plugin onde ele não for essencial e restrinja o acesso às funcionalidades administrativas e públicas afetadas.
- Consulte o registro na NVD e o registro CVE para atualizações.
Orientações de detecção
- Faça o inventário dos plugins do WordPress e sinalize qualquer instalação de WPLMS anterior ao limite corrigido.
- Revise os logs da aplicação web e do banco de dados em busca de requisições repetidas e incomuns a endpoints do WPLMS, ou de erros de banco que surjam após essas requisições.
- Mantenha backups e verifique a integridade do site após qualquer atividade suspeita.
Limitações das informações disponíveis
- O limite inferior da faixa afetada não é informado.
- O campo estruturado de correções está vazio, então a versão corrigida se baseia apenas na descrição.
- Nenhum aviso de segurança do fornecedor VibeThemes estava disponível no registro.
- O registro não descreve a técnica de exploração, os endpoints afetados nem os dados que poderiam ser expostos.
- A pontuação CVSS vem da CNA; o registro não inclui uma avaliação separada da NVD.
Perguntas frequentes
Quais versões do WPLMS são afetadas?
O registro indica a faixa afetada como anterior a 1.9.9.8.2, sem limite inferior informado. O campo estruturado de correções está vazio, então confirme o limite com o fornecedor.
Esta vulnerabilidade está sendo explorada ativamente?
O CVE não aparece no catálogo KEV da CISA no registro, e não há exploração ativa confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.