CVE-2018-25335: Plugin WordPress Peugeot Music 1.0 - Upload Arbitrário de Arquivos

Visão geral

A CVE-2018-25335 afeta o plugin Peugeot Music para WordPress, na versão 1.0. O registro associa o problema à CWE-306 (Ausência de Autenticação para Função Crítica) e indica a VulnCheck como CNA.

Impacto

O registro informa que atacantes não autenticados podem enviar arquivos, que podem então ser executados a partir do diretório de uploads.
A pontuação base CVSS 3.1 é 9.8 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, indicando alto impacto em confidencialidade, integridade e disponibilidade.
A VulnCheck também fornece pontuação CVSS 4.0 de 9.3.
Os campos SSVC do registro indicam impacto técnico total e característica automatizável como sim.

Produtos e versões afetadas

Produto listado: Peugeot-music-plugin Peugeot Music.
Versão listada: apenas a 1.0. O registro consultado não lista outras versões afetadas.
Nenhuma versão corrigida está listada no registro.

Status de exploração

O CISA KEV não lista esta CVE, portanto a exploração ativa não é confirmada pelo KEV.
O campo de exploração do SSVC está registrado como none (inexistente).
A lista de referências inclui uma entrada do Exploit-DB marcada como exploit. Isso mostra que existe uma referência pública de exploit nos dados consultados, mas não confirma exploração no ambiente real.
A probabilidade EPSS é 0.00515, com percentil de 0.42214.

Correção e mitigação

Nenhuma correção do fornecedor está listada no registro. A ausência de correção listada não prova que ela não exista, por isso verifique com o autor do plugin ou com o repositório de plugins do WordPress.
Se o plugin estiver instalado e nenhuma correção puder ser confirmada, considere desativá-lo e removê-lo.
Impeça a execução de scripts em diretórios de upload no servidor web e restrinja os tipos de arquivo aceitos por qualquer funcionalidade de envio.
Exija verificações de autenticação e autorização nos manipuladores de upload.
Se o plugin esteve exposto, revise o site em busca de arquivos inesperados e verifique a integridade do ambiente.

Orientações de detecção

Faça o inventário dos sites WordPress com o plugin Peugeot Music e registre a versão instalada.
Revise os logs do servidor web em busca de requisições não autenticadas ao tratamento de upload do plugin e de respostas inesperadas.
Monitore os diretórios de upload para criação de novos arquivos de script ou arquivos com extensões inesperadas.
Gere alertas quando arquivos localizados em caminhos de upload forem requisitados para execução.

Limitações das informações disponíveis

O registro não inclui detalhes do aviso do fornecedor, informações de correção nem a lista completa de builds afetados.
A data do EPSS no registro (2026-10-13) é posterior à data de publicação (2026-05-17), por isso a pontuação deve ser interpretada com cautela.
A descrição técnica é baseada no registro e não foi verificada de forma independente no código do plugin.

Perguntas frequentes

A CVE-2018-25335 é explorada ativamente?

O CISA KEV não lista esta CVE e as fontes consultadas não confirmam exploração no ambiente real. O registro cita uma entrada pública no Exploit-DB, por isso as organizações não devem presumir que a falha não é utilizada.

Quais versões são afetadas?

O registro lista apenas a versão 1.0 do plugin Peugeot Music para WordPress. Nenhuma versão corrigida está listada nos dados consultados.

O que os administradores devem fazer agora?

Se o plugin estiver instalado, confirme com o fornecedor ou com o repositório de plugins se existe correção. Caso não exista, considere removê-lo, restrinja a execução de scripts em diretórios de upload e adicione verificações de autenticação ao tratamento de uploads.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.