CVE-2026-15991

Nome do Software Vulnerável e Versões Afetadas File Manager for WordPress versões 6.0 a 6.9

Descrição A validação insuficiente do caminho do arquivo na função connector permite que atacantes autenticados com nível de acesso de assinante ou superior leiam e excluam arquivos arbitrários no servidor. Isso pode levar à execução remota de código se arquivos críticos, como wp-config.php, forem excluídos. O problema ocorre porque o registro de bind do elFinder lê comandos exclusivamente de $ POST, não registrando o manipulador de permissão rm.pre, enquanto o dispatcher utiliza uma superglobal mesclada de $ GET e $ POST. Isso permite a evasão ao passar cmd=rm ou cmf=file na string de consulta da URL de uma requisição POST, executando o comando sem verificação em um volume que assume por padrão o ABSPATH.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.