CVE-2026-4808: Luka wtyczki Gerador de Certificados – DevApps dla WordPress umożliwiająca przesyłanie dowolnych plików

Co wiadomo

Wtyczka Gerador de Certificados – DevApps dla WordPress do wersji 1.3.6 włącznie posiada lukę umożliwiającą uwierzytelnionym administratorom przesyłanie dowolnych plików na serwer. Brak walidacji typów plików w funkcji moveUploadedFile() może prowadzić do zdalnego wykonania kodu.

Wpływ biznesowy

Ta luka stwarza poważne ryzyko dla właścicieli stron opartych na WordPress z zainstalowaną wtyczką Gerador de Certificados – DevApps. Atakujący z uprawnieniami administratora mogą przesłać złośliwe pliki, co może skutkować przejęciem kontroli nad serwerem i poważnymi konsekwencjami dla dostępności i bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do kont administratorów, monitoruj logi serwera pod kątem podejrzanych aktywności oraz rozważ zastosowanie dodatkowych mechanizmów kontroli przesyłanych plików i uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference