CVE-2026-3326

AltoPublicado

XStore < 9.7.3 - SQLi Não Autenticado

Publicado: 10 de jun. de 2026
Atualizado: 10 de jun. de 2026
Atribuindo CNA: WPScan
Evidência observada: 5 de set. de 2026

CVSS primário

8,6/ 10Alto

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Estimativa de probabilidade EPSS

1,6%

Baixo · próximos 30 dias

Percentil: 74,8%
Data do modelo: 15 de out. de 2026

EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.

Resumo

O tema Xstore para WordPress anterior à versão 9.7.3 não sanitiza e escapa adequadamente um parâmetro antes de usá-lo em uma instrução SQL por meio de uma ação AJAX disponível para usuários não autenticados, levando a uma injeção de SQL

Fontes

Evidências de repositórios: Arquivos: 1 · Repositórios: 1

1 Modelo

XStore Theme < 9.7.3 - SQL InjectionModelo
http/cves/2026/CVE-2026-3326.yaml
Nuclei Templates
DetecçãoEvidência observada: 26 de set. de 2026Revisão: 17f5725dc10cFerramenta relacionada
Condições declaradas
- network: http($.protocol_keys)
- verification: dsl,word($.matchers[*].type)

CVE-2026-3326PoC
Código de exploração para CVE-2026-3326, uma prova de conceito que demonstra a vulnerabilidade.

Uso responsável

Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.