CVE-2026-86801

Nome do Software Vulnerável e Versões Afetadas To Do List Member versões 1.4 through 1.6

Description O plugin inclui um endpoint de upload de arquivos que opera independentemente do núcleo do WordPress, ignorando verificações de autenticação, capacidade e nonce. Como o sistema valida apenas o nome do arquivo e não o conteúdo real, usuários não autenticados podem fazer upload e armazenar conteúdo ativo servido a partir da origem do site. Além disso, essa falha permite que usuários não autorizados listem e excluam arquivos já presentes no diretório de upload.

Recommendations Atualize o To Do List Member para uma versão posterior à 1.6. Como medida de mitigação temporária, restrinja o acesso ao endpoint de upload de arquivos para evitar uploads, listagens e exclusões de arquivos não autorizados.