CVE-2026-113617
CVE-2026-113617
Traduzido automaticamente do inglês.
- Crítica
- CVSS 9.9
- Versão corrigida informada
Resumo
O plugin Automated Import Products to Cart do WordPress antes da versão 1.0.4 não sanitiza um caminho de arquivo fornecido pelo usuário antes de usá-lo para ler e excluir arquivos, permitindo que usuários com permissões mínimas, como assinantes, leiam arquivos arbitrários (incluindo aqueles que contêm as credenciais do banco de dados) e excluam arquivos arbitrários…
Do registro CVE.
Ler a descrição original
Registro CVE
The Automated Import Products to Cart WordPress plugin before 1.0.4 does not sanitize a user-supplied file path before using it to read and delete files, allowing users with minimal permissions, such as subscribers, to read arbitrary files (including ones containing the database credentials) and delete arbitrary files on the server.
O que fazer
Versão corrigida informada
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| Unknown Automated Import Products to Cart | antes de 1.0.4 | 1.0.4 |
Alertas e correções
- Exploit público wpscan.com
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.9 (v3.1, pontuado por CISA-ADP)
- Pontos de decisão SSVC da CISA
- Exploração: nenhuma. Automatizável: não. Impacto técnico: total. Em 29 de out. de 2026.
- Fraqueza
- CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
Linha do tempo
- Listada como crítica pelo cve.now. Versões afetadas e corrigidas vêm do registro CVE, quando for publicado.