CVE-2026-2354

Nome do Software Vulnerável e Versões Afetadas Swiss Toolkit For WP versões anteriores a 1.4.7

Descrição Um problema de upload arbitrário de arquivos existe devido a uma validação de tipo de arquivo falha na função upload extension files(). A função utiliza strpos() para verificar se um nome de arquivo contém uma string de extensão configurada em vez de verificar a extensão real do arquivo. Atacantes autenticados com nível de acesso de Autor ou superior podem fazer o upload de arquivos arbitrários, como scripts PHP, para o servidor, potencialmente levando à execução remota de código. Isso é possível quando o recurso Enhanced Multi-Format Image Support está habilitado com pelo menos uma extensão permitida, como avif.

Recomendações Atualize o Swiss Toolkit For WP para a versão 1.4.7 ou posterior. Como medida de mitigação temporária, desative o recurso Enhanced Multi-Format Image Support.