CVE-2026-8442

Nome do Software Vulnerável e Versões Afetadas WP Review Slider Pro versões anteriores a 12.6.9

Descrição O plugin WP Review Slider Pro para WordPress permite que atacantes autenticados com nível de acesso de assinante ou superior excluam arquivos arbitrários no servidor. Isso ocorre devido à falta de verificações de autorização nos manipuladores AJAX 'wpfb hide review' e 'wprp save review admin', combinada com a validação insuficiente de caminho na função wpfb hidereview ajax(). A função utiliza strpos() para verificar se uma URL de mídia armazenada começa com o prefixo esperado, mas falha ao sanitizar sequências de travessia de caminho (path traversal)—técnicas usadas para acessar arquivos fora do diretório pretendido—no caminho relativo restante antes de passá-lo para unlink(). Essa falha pode levar à execução remota de código.

Recomendações Atualize para uma versão posterior a 12.6.8. Como medida paliativa temporária, restrinja o acesso aos manipuladores AJAX 'wpfb hide review' e 'wprp save review admin' para minimizar o risco de exploração.