CVE-2026-104801

Nome do Software Vulnerável e Versões Afetadas PPOM – Product Addons & Custom Fields for WooCommerce versões anteriores a 34.0.11

Descrição A validação insuficiente do caminho do arquivo na função rename files() permite que atacantes não autenticados excluam arquivos arbitrários no servidor. Esta ação pode levar à execução remota de código se arquivos críticos, como wp-config.php, forem excluídos. Além disso, o processo move o arquivo alvo para o diretório publicamente acessível wp-content/uploads/ppom files/confirmed/, permitindo a leitura de arquivos arbitrários para qualquer arquivo legível via web no servidor.

Recomendações Atualize o PPOM – Product Addons & Custom Fields for WooCommerce para a versão 34.0.11 ou posterior. Como mitigação temporária, restrinja o acesso à função rename files().