CVE-2026-11977

Nome do Software Vulnerável e Versões Afetadas WP Post Author – Author Box, Multiple Authors, Guest Authors & Custom Avatars versões anteriores a 3.9.2

Descrição Este problema é uma Injeção de SQL genérica, que ocorre quando uma aplicação não sanitiza adequadamente a entrada do usuário, permitindo que um invasor interfira nas consultas que a aplicação faz ao seu banco de dados. Atacantes autenticados com nível de acesso de autor ou superior podem anexar consultas SQL adicionais para extrair informações sensíveis do banco de dados. O processo de exploração envolve uma cadeia de duas etapas: primeiro, o invasor salva um token de autor convidado manipulado usando o parâmetro wpma metabox authors list durante a criação ou edição de uma postagem; segundo, a injeção é acionada quando um administrador carrega a tela de lista de postagens no endpoint '/wp-admin/edit.php', resultando na exibição do resultado do SQL injetado na coluna de Autores.

Recomendações Atualize para uma versão posterior à 3.9.1. Evite usar o parâmetro wpma metabox authors list durante a criação ou edição de postagens até que a atualização seja aplicada.