CVE-2026-14982

Nome do Software Vulnerável e Versões Afetadas WP File Download versões anteriores a 6.3.5

Descrição A validação insuficiente do caminho do arquivo na função de exclusão permite que invasores autenticados com nível de acesso de assinante ou superior excluam arquivos arbitrários no servidor. Isso pode levar à execução remota de código se arquivos críticos como wp-config.php forem removidos. A exploração ocorre em duas etapas: primeiro, uma requisição à tarefa 'file.save' persiste uma string de path-traversal nos metadados do arquivo usando o parâmetro remoteurl; segundo, uma requisição à tarefa 'file.delete' aciona a chamada unlink. Ambos os endpoints carecem de verificações de capacidade e aplicação de nonce (um token de segurança usado para prevenir falsificação de requisição cross-site).

Recomendações Atualize o WP File Download para a versão 6.3.5 ou posterior. Como medida paliativa temporária, restrinja o acesso às tarefas 'file.save' e 'file.delete' para evitar a manipulação não autorizada de arquivos.