CVE-2024-7384

AcyMailing – Um plugin definitivo para boletins informativos e solução de automação de marketing para o WordPress, versões até a 9.7.2, inclusive

O problema está relacionado ao upload arbitrário de arquivos devido à falta de validação do tipo de arquivo na função acym extractArchive. Isso permite que invasores autenticados com acesso de nível de Assinante ou superior façam upload de arquivos arbitrários no servidor do site afetado, o que pode possibilitar a execução remota de código.

Para versões até a 9.7.2, inclusive, atualize para uma versão superior à 9.7.2 para resolver o problema. Como solução temporária, considere desativar a função acym extractArchive até que um patch esteja disponível. Restrinja o acesso à funcionalidade de upload de arquivos do plugin para minimizar o risco de exploração. Evite usar o recurso de upload de arquivos do plugin até que o problema seja resolvido.