CVE-2026-96331: Plugin Ajax Search Pro para WordPress - Injeção SQL
Uma vulnerabilidade de injeção SQL (CWE-89) no plugin Ajax Search Pro para WordPress permite Blind SQL Injection, segundo o registro. O registro indica como faixa afetada até 4.29.1 inclusive e pontuação CVSS base de 9.3 (crítica). Não há versão corrigida nem inclusão no catálogo KEV da CISA no registro.
Visão geral
O registro descreve uma falha de injeção SQL (CWE-89) no plugin Ajax Search Pro para WordPress, publicada pela Patchstack como CNA. A descrição afirma que o problema permite Blind SQL Injection.
Impacto
- Confirmado: a descrição afirma que a falha permite Blind SQL Injection.
- Confirmado: o registro informa pontuação CVSS base de 9.3 (crítica), com vetor de rede, baixa complexidade, sem necessidade de privilégios, sem interação do usuário, alto impacto na confidencialidade, sem impacto na integridade e baixo impacto na disponibilidade.
- Inferência: uma injeção SQL cega bem-sucedida poderia permitir que um agente remoto leia conteúdo do banco de dados. O registro não descreve quais dados seriam expostos.
Produtos e versões afetadas
- Produto: Wpdreams Ajax Search Pro (ajax-search-pro).
- O registro indica como faixa afetada até 4.29.1 inclusive, com limite inferior listado como n/a.
- O registro não lista versão corrigida. Isso não significa que não exista correção; a disponibilidade de uma correção é desconhecida com base nas fontes consultadas.
Status de exploração
- O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- A probabilidade EPSS é 0.00243 (percentil 0.14591), com data de referência 2026-10-23. O campo de exploração SSVC está como none e automatizável como yes.
Correção e mitigação
- Identifique todos os sites WordPress que utilizam o Ajax Search Pro e confirme a versão instalada.
- Consulte a entrada da Patchstack e o fornecedor do plugin em busca de uma versão corrigida, e atualize assim que houver uma versão verificada.
- Enquanto nenhuma correção for confirmada, reduza a exposição quando possível, limitando os privilégios da conta de banco de dados ao mínimo necessário e restringindo o acesso às funções administrativas.
- Mantenha o núcleo do WordPress e os demais plugins atualizados e mantenha backups testados.
Orientações de detecção
- Revise os logs do servidor web e da aplicação em busca de requisições incomuns ou repetidas à funcionalidade de busca do plugin, especialmente com padrões de parâmetros anormais ou variações suspeitas de tempo de resposta.
- Monitore os logs de erro do banco de dados e volumes de consultas inesperados originados da aplicação web.
- Audite a integridade dos arquivos do plugin e as contas de administrador criadas ou alteradas recentemente.
Limitações das informações disponíveis
- O registro não lista versão corrigida, endpoints ou parâmetros vulneráveis específicos, nem um aviso do fornecedor.
- O status do registro é Deferred.
- O limite inferior da faixa afetada é n/a.
- Esta análise se baseia na entrada da Patchstack e nos registros da NVD e da CVE referenciados no registro.
Perguntas frequentes
Qual é a vulnerabilidade no CVE-2026-96331?
O registro descreve uma falha de injeção SQL (CWE-89) no plugin Ajax Search Pro para WordPress que permite Blind SQL Injection.
Quais versões são afetadas?
O registro indica como faixa afetada até 4.29.1 inclusive, com limite inferior n/a. Nenhuma versão corrigida é listada.
Há exploração confirmada desta vulnerabilidade?
O registro não a lista no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.