FunnelKit Automations: injeção de SQL cega (CVE-2026-111411)
O NVD publicou a CVE-2026-111411 para o plugin FunnelKit Automations (wp-marketing-automations) do WordPress. Trata-se de neutralização inadequada de elementos especiais em comandos SQL, o que permite injeção de SQL cega. A pontuação CVSS é 9.3.
Verificado no Shield: sim
Quem é afetado
Sites WordPress com o FunnelKit Automations até a versão 3.8.5.2, inclusive.
Como verificar
No painel do WordPress, abra a página Plugins e localize o FunnelKit Automations. Se a versão instalada for 3.8.5.2 ou anterior, o site se enquadra no intervalo descrito.
Como corrigir
A descrição não informa uma versão corrigida. Fique de olho em uma atualização do desenvolvedor do plugin e instale assim que for lançada.
O que o Shield verifica grátis
O Shield encontra o FunnelKit Automations pelos endereços dos arquivos no código da página, lê a versão no readme.txt do plugin (a linha Stable tag) ou no ?ver= dos arquivos e compara com a versão corrigida 3.8.5.3. Se a sua versão for menor, o relatório mostra um achado com link para o CVE. Grátis, em toda verificação. Se o plugin não deixa rastros nas páginas, ele não aparece de fora: confira a versão no seu painel de administração.
Bom saber
A disponibilidade de correção e qualquer exploração ativa ainda não foram divulgadas; fonte: a entrada do NVD para o CVE-2026-111411.
