PT-2026-137817
CVE-2026-118045
·
Publicado
2026-11-06
·
Atualizado
2026-11-06
Descrição por
CVSS 3.1
8.7
AltaMétricasAV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H
The Ever Accounting WordPress plugin before 2.3.3 does not restrict the file path supplied to its CSV import routine to an allowed directory, allowing users with its custom Accounting Manager role (which does not have administrator privileges) to delete arbitrary files on the server, such as wp-config.php, which takes the entire site offline.
Explorabilidade
Exploit
Correção
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾