CVE-2026-103688
CVE-2026-103688
Traduzido automaticamente do inglês.
- Crítica
- CVSS 9.8
- EPSS 0,24%
- Versão corrigida informada
Resumo
O plugin WordPress Checkout Files Upload for WooCommerce antes da versão 2.4.0 não valida os tipos de arquivos enviados quando sua configuração de tipos de arquivos aceitos está vazia, o que ele documenta como a maneira de aceitar todos os arquivos, permitindo que usuários não autenticados enviem arquivos arbitrários, incluindo arquivos PHP que levam à execução remota de código…
Do registro CVE.
Ler a descrição original
Registro CVE
The Checkout Files Upload for WooCommerce WordPress plugin before 2.4.0 does not validate uploaded file types when its accepted file types setting is left empty, which it documents as the way to accept all files, allowing unauthenticated users to upload arbitrary files, including PHP files that lead to remote code execution on servers that execute PHP from the uploads directory.
O que fazer
Versão corrigida informada
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| Unknown Checkout Files Upload for WooCommerce | antes de 2.4.0 | 2.4.0 |
Alertas e correções
- Exploit público wpscan.com
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.8 (v3.1, pontuado por CISA-ADP)
- EPSS
- 0,24% de chance de exploração nos próximos 30 dias (EPSS do FIRST, em 28 de out. de 2026)
- Pontos de decisão SSVC da CISA
- Exploração: nenhuma. Automatizável: sim. Impacto técnico: total. Em 28 de out. de 2026.
- Fraqueza
- CWE-434: Unrestricted Upload of File with Dangerous Type
Linha do tempo
- Listada como crítica pelo cve.now. Versões afetadas e corrigidas vêm do registro CVE, quando for publicado.