CVE-2025-6755

Nome do Software Vulnerável e Versões Afetadas: Plugin Game Users Share Buttons para WordPress versões até a 1.3.0 inclusive

Descrição: O problema está relacionado à validação insuficiente de caminho de arquivo na função ajaxDeleteTheme(), permitindo que atacantes com nível de Assinante adicionem caminhos de arquivo arbitrários ao parâmetro themeNameId da requisição AJAX. Isso pode levar à execução remota de código. Por exemplo, atacantes podem usar caminhos como ../../../../wp-config.php.

Recomendações: Para versões até a 1.3.0 inclusive, atualize para uma versão que corrija o problema de validação insuficiente de caminho de arquivo na função ajaxDeleteTheme() para prevenir exclusão arbitrária de arquivos e execução remota de código. Como medida paliativa temporária, considere desativar a função ajaxDeleteTheme() até que um patch esteja disponível. Restrinja o acesso ao parâmetro themeNameId na requisição AJAX para minimizar o risco de exploração.