CVE-2026-119977

Nome do Software Vulnerável e Versões Afetadas WordPress versões anteriores a 7.1.4 WordPress versões anteriores a 7.0.8 WordPress versões anteriores a 6.9.11 WordPress versões anteriores a 4.7.39

Description Um problema de execução remota de código existe durante o processo de atualização do núcleo. Quando ocorre uma atualização completa, uma cópia completa do software é extraída para o diretório wp-content/upgrade/wordpress-/. Como o nome do diretório é previsível e o diretório é limpo antes da extração, cria-se uma breve janela de tempo na qual o endpoint wp-admin/setup-config.php fica acessível a usuários externos. Um invasor pode usar essa janela para concluir uma instalação contra um banco de dados MySQL remoto, fazer login na conta de administrador temporária e fazer o upload de um plugin malicioso contendo PHP para obter a execução de código. Alternativamente, um invasor pode gravar um arquivo wp-config.php que pode ser copiado posteriormente para a raiz do site durante atualizações não corrigidas ou reinstalações subsequentes, permitindo que o invasor controle o site por meio de seu próprio banco de dados. A exploração requer uma atualização de pacote completo, um diretório wp-content/upgrade/ acessível via web e capaz de executar PHP, e a capacidade de o alvo alcançar o servidor MySQL do invasor.

Recommendations Atualize para a versão 7.1.4, 7.0.8, 6.9.11 ou 4.7.39. Como mitigação temporária, bloqueie o acesso e a execução de PHP para o diretório wp-content/upgrade/ na camada do servidor web.