CVE-2025-2941

Nome do Software Vulnerável e Versões Afetadas Plugin Drag and Drop Multiple File Upload for WooCommerce para WordPress, versões até e incluindo a 1.1.4

Descrição A questão decorre de uma validação insuficiente do caminho do arquivo através do parâmetro wc-upload-file[], permitindo que atacantes não autenticados movam arquivos arbitrários no servidor. Isso pode resultar em execução remota de código quando o arquivo correto é movido, como o wp-config.php. A vulnerabilidade está relacionada à limitação inadequada de um caminho de arquivo a um diretório restrito, também conhecida como path traversal.

Recomendações Para versões até e incluindo a 1.1.4, atualize para uma versão superior à 1.1.4 para resolver o problema. Como solução temporária, considere restringir o acesso ao parâmetro wc-upload-file[] para prevenir a movimentação não autenticada de arquivos. Além disso, restrinja o acesso a arquivos sensíveis, como o wp-config.php, para minimizar o risco de exploração.