CVE-2026-96328: Plugin JNews - Pay Writer para WordPress: injeção de SQL cega
A CVE-2026-96328 é uma falha de injeção de SQL (CWE-89) no plugin JNews - Pay Writer para WordPress, da jegtheme, descrita como capaz de permitir Blind SQL Injection. A faixa afetada vai até 12.0.1 inclusive, e a Patchstack informa pontuação CVSS de 9.3 com severidade crítica. O registro não lista versão corrigida, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O registro descreve uma falha de injeção de SQL (CWE-89) no JNews - Pay Writer, um plugin para WordPress da jegtheme. Segundo a descrição, o problema permite Blind SQL Injection, ou seja, dados controlados pelo atacante podem influenciar consultas ao banco sem que o resultado apareça diretamente na página.
Impacto
- A pontuação da Patchstack indica alto impacto na confidencialidade, baixo impacto na disponibilidade e nenhum impacto na integridade, com escopo alterado.
- A mesma pontuação indica que não são exigidos privilégios nem interação do usuário, o que explica a classificação de severidade crítica.
- As consequências práticas em cada site dependem das permissões do banco e dos dados armazenados, que o registro não descreve.
Produtos e versões afetadas
O registro lista o JNews - Pay Writer, da jegtheme, como afetado até a versão 12.0.1 inclusive. A descrição indica o intervalo de n/a até 12.0.1, portanto o limite inferior não é especificado. O registro não contém versão corrigida.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. A probabilidade EPSS é 0.00229, com percentil 0.13009 em 2026-10-23, e o campo de exploração do SSVC está como none. Nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Correção e mitigação
- Identifique todos os sites que usam o JNews - Pay Writer e confirme a versão instalada em relação à faixa afetada.
- Consulte o fornecedor e a entrada da Patchstack para verificar uma versão atualizada, já que o registro não informa versão corrigida.
- Se não houver atualização, considere desativar o plugin até que o risco seja avaliado.
- Aplique o princípio do menor privilégio à conta de banco usada pelo WordPress e mantenha os backups atualizados.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de parâmetros incomuns ou requisições repetidas a endpoints do plugin.
- Monitore o banco de dados em busca de erros de consulta ou padrões de tempo que não correspondam à atividade normal do site.
Limitações das informações disponíveis
O registro não identifica o parâmetro vulnerável, a versão corrigida nem as condições exatas para que a falha seja alcançada. O limite inferior da faixa afetada está indicado como n/a, e o status de publicação consta como Deferred. Não foi encontrada confirmação do fornecedor nas fontes consultadas.
Perguntas frequentes
O que é a CVE-2026-96328?
É uma falha de injeção de SQL (CWE-89) no plugin JNews - Pay Writer para WordPress, da jegtheme, descrita como capaz de permitir Blind SQL Injection.
Quais versões são afetadas?
O registro indica o plugin como afetado até a versão 12.0.1 inclusive. O limite inferior aparece como n/a, portanto não é especificado.
Esta vulnerabilidade está sendo explorada ativamente?
A CVE não está listada no catálogo KEV da CISA no registro, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.