CVE-2026-96330: Plugin tagDiv Opt-In Builder para WordPress até 1.7.6 - Injeção de SQL

Visão geral

O registro descreve uma falha de injeção de SQL (CWE-89) no plugin tagDiv Opt-In Builder para WordPress, associado ao componente td-subscription. A descrição indica que a falha permite injeção de SQL cega e que a faixa afetada vai até a versão 1.7.6.

Impacto

A Patchstack informa pontuação base CVSS 3.1 de 9.3. O vetor presente no registro indica ataque pela rede, baixa complexidade, ausência de privilégios exigidos, ausência de interação do usuário, escopo alterado, alto impacto na confidencialidade, nenhum impacto na integridade e baixo impacto na disponibilidade. Em conjunto, isso sugere que um ataque bem-sucedido poderia expor conteúdo do banco de dados sem autenticação, o que é uma inferência a partir do vetor e não uma afirmação da fonte.

Produtos e versões afetados

Produto indicado: tagDiv tagDiv Opt-In Builder (componente td-subscription).
Faixa indicada: até a versão 1.7.6 inclusive, apresentada no registro como 'de n/a até 1.7.6'.
O registro não indica nenhuma versão corrigida.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro. Não há exploração ativa confirmada nas fontes consultadas. A probabilidade EPSS no registro é 0.00229, com percentil 0.12718 (data de 2026-10-13), e o campo SSVC de exploração está como 'none', enquanto a automatizabilidade está como 'yes'. Esses valores indicam baixa probabilidade modelada de exploração na data do registro, mas não garantem ausência de ataques.

Correção e mitigação

Consulte a entrada da Patchstack e os canais do fornecedor em busca de uma versão atualizada. Não presuma que a correção existe, pois nenhuma é indicada.
Se estiver em uma versão até a 1.7.6 e não houver correção confirmada, considere desativar o plugin ou restringir o acesso à funcionalidade afetada até que haja orientação oficial.
Limite os privilégios da conta de banco de dados usada pelo WordPress ao estritamente necessário.
Regras de firewall de aplicação web podem servir como controle compensatório temporário, sem substituir a aplicação da correção.
Se houver suspeita de comprometimento, verifique a integridade dos dados e troque credenciais armazenadas no banco.

Orientação para detecção

Analise os logs do servidor web e da aplicação em busca de volume incomum de requisições ou repetição de chamadas a endpoints relacionados a assinaturas.
Observe erros de banco de dados ou tempos de resposta anormais, que podem acompanhar tentativas de injeção cega.
Monitore os logs do banco de dados em busca de consultas originadas da conta da aplicação web que não correspondam ao comportamento normal do plugin.

Limitações das informações disponíveis

O registro não traz versão corrigida, aviso oficial do fornecedor ou identificador de patch.
O parâmetro ou endpoint vulnerável específico não é identificado no registro.
O registro informa o limite inferior 'de n/a', portanto a versão afetada mais antiga é desconhecida.
O registro está com status de fonte 'Deferred' e foi publicado em 2026-10-09; atualizações posteriores podem existir fora das fontes consultadas.
A prevalência de exploração além dos valores EPSS e SSVC do registro é desconhecida.

Perguntas frequentes

O que é a CVE-2026-96330?

É uma falha de injeção de SQL cega (CWE-89) no plugin WordPress tagDiv Opt-In Builder, que afeta versões até a 1.7.6 segundo o registro.

Existe versão corrigida?

O registro não indica nenhuma versão corrigida. Consulte a entrada da Patchstack e os canais do fornecedor antes de presumir que há correção.

Esta CVE está sendo explorada ativamente?

O registro não a lista no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.