CVE-2026-13492

Nome do Software Vulnerável e Versões Afetadas UsersWP versões anteriores a 1.2.66

Descrição Atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior podem excluir arquivos arbitrários no servidor, incluindo o arquivo wp-config.php. Isso ocorre porque a função validate fields() em UsersWP Validation não valida adequadamente os valores dos campos de arquivo, permitindo que sequências de traversal de diretório permaneçam. Subsequentemente, o manipulador AJAX upload file remove() constrói o alvo da exclusão concatenando o diretório base de uploads com um valor de metadados controlado pelo atacante, sem realizar a canonicalização de realpath ou verificações de limite antes de chamar a função unlink(). Directory traversal é uma técnica utilizada para acessar arquivos e diretórios que estão armazenados fora da pasta raiz da web.

Recomendações Atualize o UsersWP para uma versão posterior à 1.2.65.