CVE-2026-109219

Nome do Software Vulnerável e Versões Afetadas Mang Board versões anteriores a 2.4.5

Descrição O plugin permite que atacantes não autenticados realizem o upload arbitrário de arquivos através da função mbw file upload(). O problema decorre da falta de validação da extensão do arquivo no parâmetro image path, permitindo que o nome do arquivo derivado do basename ignore a lista de permissões de extensões aplicada apenas ao parâmetro file name. Isso pode levar à execução remota de código se arquivos executáveis forem carregados. Esta falha é explorável quando o quadro está configurado para permitir postagens de convidados, que é a configuração padrão, pois o nonce necessário está visível em todas as páginas públicas do quadro.

Recomendações Atualize para uma versão posterior à 2.4.4. Como medida de mitigação temporária, desative a capacidade de convidados criarem postagens no quadro.