CVE-2026-15009

Nome do Software Vulnerável e Versões Afetadas Advanced File Manager – Ultimate File Manager for WordPress And Document Library Solution versões anteriores a 5.4.13

Descrição Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas. A execução ocorre quando um usuário acessa a página injetada. A exploração bem-sucedida requer que o atacante controle um domínio cujo string de origem seja um prefixo principal da URL do backend do site alvo e que um administrador do WordPress autenticado visite a página controlada pelo atacante enquanto a tela de administração do File Manager estiver aberta. O problema é acionado através do parâmetro soundFile.

Recomendações Atualize o Advanced File Manager – Ultimate File Manager for WordPress And Document Library Solution para a versão 5.4.13 ou posterior. Evite usar o parâmetro soundFile até que o plugin seja atualizado.