CVE-2024-5852

Nome do software vulnerável e versões afetadas:

Plugin WordPress File Upload para versões do WordPress até a 4.24.7, inclusive

Descrição:

A falha permite que invasores autenticados com acesso de nível Contributor ou superior enviem arquivos específicos para locais arbitrários no servidor web devido a uma vulnerabilidade de traversal de diretório. Isso é possível por meio do parâmetro uploadpath do shortcode “wordpress file upload”.

Recomendações:

Para o plugin WordPress File Upload para versões do WordPress até a 4.24.7, inclusive:

Atualize para uma versão posterior à 4.24.7 para resolver o problema.

Como solução temporária, considere restringir o acesso ao parâmetro uploadpath no shortcode wordpress file upload para minimizar o risco de exploração.