CVE-2026-114422

Nome do Software Vulnerável e Versões Afetadas Enable Media Replace versões 4.1.4 through 4.2.2

Description Usuários não autenticados podem injetar um objeto PHP durante a rotina de substituição de mídia e atualização de links, pois o software não restringe as classes permitidas ao desserializar metadados armazenados. Esta Injeção de Objeto PHP ocorre quando um usuário com acesso de upload realiza uma substituição de mídia rotineira. O problema pode levar à inclusão local de arquivos (LFI) de arquivos PHP ou HTML existentes, podendo escalar para a execução remota de código se um arquivo influenciado pelo invasor estiver presente no servidor. Se uma POP chain (uma sequência de gadgets usada para executar código arbitrário durante a desserialização) estiver presente por meio de outros plugins ou temas instalados, isso poderá permitir a exclusão de arquivos arbitrários ou a recuperação de dados sensíveis.

Recommendations Atualize o Enable Media Replace para a versão 4.2.3 ou posterior.