CVE-2026-5337

Nome do Software Vulnerável e Versões Afetadas Frontend File Manager Plugin WordPress versões anteriores a 23.7

Descrição Atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior podem realizar um ataque de Referência Direta Insegura a Objetos (IDOR), que ocorre quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. O problema existe porque o plugin não valida adequadamente a autorização do usuário para arquivos carregados solicitados durante requisições de download. Ao modificar o parâmetro file id no endpoint 'do=wpfm download', um atacante pode obter acesso de leitura não autorizado a arquivos confidenciais pertencentes a outros usuários, incluindo administradores.

Recomendações Atualize o plugin para uma versão posterior a 23.6. Como medida paliativa temporária, restrinja o acesso ao endpoint 'do=wpfm download' ou ao parâmetro file id para minimizar o risco de acesso não autorizado a arquivos.