CVE-2025-4603

Nome do Software Vulnerável e Versões Afetadas Plugin eMagicOne Store Manager for WooCommerce para WordPress versões 1.2.5 e anteriores

Descrição O problema está relacionado à validação insuficiente do caminho do arquivo na função delete file(), permitindo que atacantes não autenticados excluam arquivos arbitrários no servidor. Isso pode levar à execução remota de código quando arquivos específicos, como wp-config.php, são excluídos. A vulnerabilidade só pode ser explorada em configurações padrão onde a senha padrão é mantida como 1:1, ou onde o atacante obtém acesso às credenciais.

Recomendações Para as versões 1.2.5 e anteriores, atualize para uma versão que inclua uma correção para a validação insuficiente do caminho do arquivo na função delete file(). Como medida temporária, considere alterar a senha padrão de 1:1 e restringir o acesso à função delete file() para minimizar o risco de exploração. Além disso, restrinja o acesso a arquivos sensíveis, como wp-config.php, para impedir a execução remota de código.