PT-2026-34287 · WordPress · Create Db Tables

Youcef Hamdani · Publicado 2026-04-22 · Atualizado 2026-05-06 · CVE-2026-4119

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Name of the Vulnerable Software and Affected Versions Create DB Tables versões anteriores a 1.2.2

Description O plugin Create DB Tables para WordPress contém um bypass de autorização. O plugin registra hooks de ação admin post para criar tabelas ('admin post add table') e excluir tabelas ('admin post delete db table') sem implementar verificações de capacidade ou verificação de nonce. Consequentemente, qualquer usuário autenticado, incluindo aqueles com nível de acesso de Assinante, pode acessar esses endpoints. A função cdbt delete db table() processa um nome de tabela fornecido pelo usuário através da variável db table e executa uma consulta SQL DROP TABLE, o que permite a exclusão de qualquer tabela do banco de dados, incluindo tabelas críticas do núcleo do WordPress. Da mesma forma, a função cdbt create new table() permite a criação de tabelas de banco de dados arbitrárias.

Recommendations Atualize para uma versão posterior a 1.2.1. Como medida paliativa temporária, restrinja o acesso aos endpoints 'admin post add table' e 'admin post delete db table' apenas a administradores autorizados.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-4119

Produtos afetados

Create Db Tables

Referências · 19

• https://reddit.com/r/StopBadBots/comments/1t0qbbs/critical_alert_20_unpatched_wordpress · Publicação no Reddit
• https://twitter.com/MNovofastovsky/status/2051924927486566548 · Publicação no Twitter
• https://twitter.com/0dayPublishing/status/2046867853337342181 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/create-db-tables/tags/1.2.1/create-new-table.php#L69 · Nota
• https://plugins.trac.wordpress.org/browser/create-db-tables/trunk/create-db-tables.php#L408 · Nota
• https://plugins.trac.wordpress.org/browser/create-db-tables/trunk/create-new-table.php#L69 · Nota
• https://plugins.trac.wordpress.org/browser/create-db-tables/tags/1.2.1/create-new-table.php#L14 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-4119 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/create-db-tables/tags/1.2.1/create-db-tables.php#L405 · Nota
• https://plugins.trac.wordpress.org/browser/create-db-tables/trunk/create-db-tables.php#L370 · Nota
• https://plugins.trac.wordpress.org/browser/create-db-tables/tags/1.2.1/create-db-tables.php#L370 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/d1a3bc4b-cc17-4728-b242-13841b5f7660?source=cve · Nota
• https://twitter.com/CVEnew/status/2047428112817025238 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/create-db-tables/trunk/create-db-tables.php#L376 · Nota
• https://plugins.trac.wordpress.org/browser/create-db-tables/tags/1.2.1/create-db-tables.php#L408 · Nota