CVE-2026-15095

Nome do Software Vulnerável e Versões Afetadas Product Feed Manager for WooCommerce – CTX Feed – Support 220+ Shopping & Social Channels versões anteriores a 6.6.44

Descrição Um problema de Directory Traversal existe onde atacantes autenticados com nível de acesso de gerente de loja ou superior podem excluir arquivos arbitrários no servidor. Isso ocorre por meio do parâmetro provider e pode levar à execução remota de código se arquivos críticos forem removidos. O ataque requer duas chamadas sequenciais de REST API: primeiro para o endpoint '/wp-json/ctxfeed/v1/make feed/save feed config' para armazenar a carga de travessia em wp options, e depois para o endpoint '/wp-json/ctxfeed/v1/manage feeds/delete feed' para acionar a função unlink(). A exclusão é limitada a arquivos com extensões que correspondam a uma lista branca validada, incluindo csv, xml, tsv, xls, xlsx, json e txt.

Recomendações Atualize o plugin para a versão 6.6.44 ou posterior. Como mitigação temporária, restrinja o acesso aos endpoints '/wp-json/ctxfeed/v1/make feed/save feed config' e '/wp-json/ctxfeed/v1/manage feeds/delete feed' para usuários com nível de acesso de gerente de loja.