Fique de olho
JoomSport · plugin de ligas esportivas
Vulnerável: 5.7.11 e anteriores (sem correção)Ainda sem correção
Quem tem uma conta de Colaborador no site pode extrair dados do banco, como e-mails e senhas criptografadas de usuários.
Você mesmo
- Ficar de olho em uma atualização do JoomSport e aplicá-la assim que sair.
- Revisar quem tem conta de Colaborador ou superior em Usuários e remover contas desnecessárias.
- Se não usa o plugin, desativá-lo.
Seu dev ou hospedagem
- Bloquear no WAF valores não numéricos no parâmetro team_id.
- Revisar logs por requisições com team_id contendo SQL.
Detalhes técnicos: A CVE-2026-118192 (Wordfence, publicada em 29/10/2026) descreve SQL injection no parâmetro team_id do JoomSport até a 5.7.11 (versão atual). Usuários com papel de Colaborador ou superior podem anexar consultas SQL e extrair dados sensíveis do banco quando uma temporada não tem termo joomsport_tournament associado, o que é o padrão em temporadas novas. CVSS 6.5. Ainda sem versão corrigida e sem relato de exploração ativa.
Dados técnicos
CVE-2026-118192 · CVSS 6,5 · Fonte: Wordfence (via OffSeq Radar)