CVE-2026-96809: Plugin EduAdmin Booking para WordPress - injeção de SQL

Visão geral

A CVE-2026-96809 descreve uma injeção de SQL cega (CWE-89) no plugin EduAdmin Booking (eduadmin-booking) para WordPress, desenvolvido pela MultiNet Interactive AB. O registro da CVE foi publicado pela Patchstack como CNA e indica versões anteriores à 6.0.0 como afetadas. Consulte o registro da CVE e a entrada no NVD.

Impacto

A pontuação CVSS 3.1 é 9.3 (crítica), informada pela Patchstack e repetida na lista de pontuações do registro.
O vetor indica alcance pela rede, sem necessidade de privilégios nem de interação do usuário, mudança de escopo, alto impacto na confidencialidade, baixo impacto na disponibilidade e nenhum impacto na integridade.
A injeção de SQL cega significa que um atacante poderia, em tese, ler ou inferir conteúdo do banco de dados sem receber a saída direta das consultas. A extensão real da exposição depende do contexto de banco de dados do plugin, que o registro não descreve.

Produtos e versões afetadas

Produto: MultiNet Interactive AB EduAdmin Booking (plugin WordPress eduadmin-booking).
Faixa afetada no registro: versões anteriores à 6.0.0 (o registro menciona 'de n/a antes de 6.0.0').
A lista de correções do registro está vazia. A faixa afetada sugere que a versão 6.0.0 ou posterior está fora dela, mas isso é uma inferência que deve ser confirmada com o fornecedor ou com a entrada da Patchstack.

Status de exploração

Catálogo KEV da CISA: não consta no registro.
Nenhuma exploração ativa confirmada ou explorada na natureza aparece nas fontes consultadas.
O registro apresenta probabilidade EPSS de 0.00243 (percentil 0.14315) e valor SSVC de exploração 'none'. São indicadores de sinal atual, não prova de ataques.

Correção e mitigação

Identifique todos os sites WordPress que utilizam o plugin EduAdmin Booking e registre as versões instaladas.
Atualize o plugin para a versão 6.0.0 ou posterior, ou para a versão mais recente indicada pelo fornecedor, assim que a atualização for validada.
Enquanto a atualização não for aplicada, considere restringir o acesso aos endpoints públicos do plugin, posicionar um firewall de aplicação web à frente do site e revisar os privilégios da conta de banco de dados, limitando-a ao necessário.
Mantenha o núcleo do WordPress e os demais plugins atualizados e remova os plugins não utilizados.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de valores de parâmetros incomuns ou malformados enviados às páginas de reservas.
Monitore os logs do banco de dados em busca de erros, padrões de consulta inesperados ou consultas lentas originadas pela aplicação web.
Acompanhe alterações nos arquivos do plugin e a criação de contas administrativas inesperadas nas instalações afetadas.

Limitações das informações disponíveis

O status de origem do registro é 'Deferred', e as fontes não trazem detalhes técnicos, prova de conceito nem texto de aviso do fornecedor.
O registro não especifica o parâmetro ou endpoint vulnerável, nem requisitos de autenticação além do vetor CVSS.
O registro não informa explicitamente uma versão corrigida, por isso a versão exata da correção precisa ser confirmada.
O limite inferior 'n/a' da faixa afetada não é claro e pode significar que todas as versões anteriores são afetadas.

Perguntas frequentes

O que é a CVE-2026-96809?

É uma injeção de SQL cega (CWE-89) no plugin WordPress EduAdmin Booking (eduadmin-booking), conforme relatado pela Patchstack. O registro indica versões anteriores à 6.0.0 como afetadas.

Qual é a gravidade?

O registro atribui pontuação CVSS 3.1 de 9.3, classificada como crítica, com base nos dados fornecidos pela Patchstack.

Há exploração ativa?

A CVE não consta no catálogo KEV da CISA e não há exploração ativa confirmada nas fontes consultadas.

O que os administradores devem fazer?

Identificar as instalações, atualizar para a versão 6.0.0 ou posterior após validação e aplicar restrições de acesso e monitoramento temporários enquanto a atualização não é feita.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.