CVE-2021-47933: MStore API para WordPress - upload arbitrário de arquivos sem autenticação

Visão geral

O MStore API é um plugin para WordPress, e o registro indica a versão 2.0.6 como afetada. A descrição informa que uma falha de upload arbitrário de arquivos pode ser acessada sem autenticação por meio de um endpoint da REST API, sendo o endpoint config_file apontado como alvo do envio. O registro associa a falha ao CWE-306, Ausência de autenticação para função crítica.

Impacto

Usuários não autenticados podem, segundo o registro, conseguir gravar arquivos no servidor.
O registro afirma que arquivos PHP enviados dessa forma poderiam levar à execução remota de código.
O vetor CVSS 3.1 atribuído à VulnCheck indica alto impacto em confidencialidade, integridade e disponibilidade, com pontuação base de 9.8.
O registro também lista uma pontuação CVSS 4.0 de 9.3.

Produtos e versões afetadas

Produto listado como Mstore MStore API, plugin para WordPress.
Versão afetada listada: 2.0.6.
O registro não lista outras versões afetadas, portanto a faixa completa de versões vulneráveis é desconhecida.
O registro não lista uma versão corrigida. Essa ausência não confirma que não exista correção; consulte a página do plugin no WordPress para informações atuais de lançamento.

Status de exploração

O registro indica que esta CVE não consta no catálogo KEV da CISA, portanto a exploração ativa não é confirmada por essa fonte. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O registro lista uma referência de exploit no Exploit-DB e um valor SSVC de exploração de prova de conceito (poc), o que indica que há material de exploração registrado. Isso deve ser tratado como motivo para priorizar a remediação.

Remediação e mitigação

Identifique se o plugin MStore API está instalado em algum site WordPress e confirme sua versão.
Se a versão 2.0.6 estiver em uso e o plugin não for necessário, remova-o ou desative-o.
Acompanhe o aviso da VulnCheck e a página do plugin para informações sobre correção do fornecedor.
Quando operacionalmente possível, restrinja o acesso às rotas da REST API do plugin e use regras de firewall de aplicação web como controle compensatório temporário.
Quando viável, impeça que o servidor web execute arquivos PHP nos diretórios de upload e de configuração.

Orientação para detecção

Revise os logs do servidor web e da aplicação em busca de requisições POST não autenticadas às rotas da REST API do plugin, especialmente as que referenciem config_file.
Procure arquivos PHP ou outros executáveis inesperados nos diretórios de upload e de plugins do WordPress, comparando a lista de arquivos com uma linha de base confiável.
Investigue processos filhos inesperados ou conexões de saída originadas do processo do servidor web.

Limitações das informações disponíveis

O registro não descreve o caminho exato do código vulnerável nem a lista completa de versões afetadas.
Nenhuma correção do fornecedor é listada no registro.
As pontuações CVSS são atribuídas à VulnCheck; o registro não inclui pontuação separada do NVD.
A data do EPSS no registro (2026-10-13) deve ser verificada na fonte antes de ser utilizada.
Se a falha é explorada na prática não é estabelecido pelas fontes consultadas.

Perguntas frequentes

Esta vulnerabilidade está sendo explorada ativamente?

O registro indica que a CVE não consta no KEV da CISA e que nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O registro lista uma referência de exploit e uma classificação de prova de conceito, por isso priorizar a remediação é razoável.

O que os administradores devem fazer agora?

Identifique se o plugin MStore API está instalado, remova-o ou desative-o se não for necessário, restrinja o acesso às suas rotas REST e verifique os diretórios de upload em busca de arquivos PHP inesperados. Como o registro não lista versão corrigida, acompanhe a página do plugin e os avisos do fornecedor.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.