CVE-2024-7856

O plugin “The MP3 Audio Player – Music Player, Podcast Player & Radio by Sonaar” para o WordPress, nas versões até a 5.7.0.1, inclusive

O problema está relacionado à exclusão arbitrária e não autorizada de arquivos devido à falta de verificação de permissão na função removeTempFiles() e à validação insuficiente do caminho no parâmetro file. Isso permite que invasores autenticados com acesso de nível de assinante ou superior excluam arquivos arbitrários, o que pode levar à execução remota de código caso arquivos críticos, como wp-config.php, sejam excluídos.

Para versões até e incluindo a 5.7.0.1, atualize para uma versão superior à 5.7.0.1 para resolver o problema. Como solução temporária, considere restringir o acesso à função removeTempFiles() e validar o parâmetro file para impedir a exclusão não autorizada de arquivos. Além disso, certifique-se de que apenas usuários confiáveis tenham acesso de nível de assinante ou superior para minimizar o risco de exploração.