CVE-2021-47940: Plugin Download From Files para WordPress: upload arbitrário de arquivos sem autenticação

Visão geral

A CVE-2021-47940 é uma falha de upload arbitrário de arquivos no plugin Download From Files para WordPress. O registro a classifica como CWE-306 (Missing Authentication for Critical Function), ou seja, uma função sensível pode ser acessada sem verificações de autenticação adequadas.

Impacto

Segundo a descrição, um atacante remoto não autenticado poderia colocar arquivos executáveis, como scripts PHP, na raiz web.
Scripts enviados ao servidor poderiam permitir execução remota de código, roubo de dados ou tomada do site. Trata-se de inferência baseada na descrição do upload e nos impactos altos de confidencialidade, integridade e disponibilidade do CVSS 3.1.
As notas da VulnCheck são 9.8 (CVSS 3.1) e 9.3 (CVSS 4.0).

Produtos e versões afetadas

Produto: plugin Download From Files para WordPress.
Versões: 1.48 e anteriores, segundo a descrição.
A lista de produtos afetados do registro está vazia, portanto intervalos além da descrição são desconhecidos.
Versão corrigida: não consta no registro. Consulte a página do plugin no WordPress.org e o changelog do fornecedor.

Status de exploração

CISA KEV: não listada no registro.
Não há exploração ativa confirmada nas fontes consultadas.
Há uma entrada pública de exploit referenciada no Exploit-DB. Sua existência não comprova exploração da falha na natureza.

Correção e mitigação

Identifique todos os sites que utilizam o plugin e verifique a versão instalada.
Atualize o plugin quando uma versão corrigida for confirmada. Se não houver correção verificável, considere remover ou desativar o plugin.
Impeça a execução de scripts em diretórios de upload no servidor web, como defesa em profundidade.
Restrinja o acesso ao admin-ajax.php quando possível e revise os controles de validação de tipo de arquivo.
Revise a raiz web em busca de arquivos executáveis inesperados e troque credenciais se houver suspeita de comprometimento.

Orientações de detecção

Monitore os logs do servidor web em busca de requisições POST incomuns ao admin-ajax.php vindas de clientes não autenticados.
Gere alertas para arquivos de script novos ou modificados nos diretórios de upload e na raiz web.
Revise linhas de base de integridade de arquivos e eventos do firewall de aplicação web relacionados a uploads anômalos.

Limitações das informações disponíveis

O registro tem source_status Deferred e não traz análise adicional da CNA ou do NVD além das notas listadas.
Não há versão corrigida, intervalo de versões confirmado pelo fornecedor nem detalhes de patch.
As datas de publicação (2026-05-10) e do EPSS (2026-10-13) são reportadas como constam no registro e não foram verificadas de forma independente.
O título do registro é nulo, então o título aqui foi derivado da descrição.

Perguntas frequentes

A CVE-2021-47940 está sendo explorada ativamente?

O registro mostra que a CVE não está no catálogo KEV da CISA e não há exploração ativa confirmada nas fontes consultadas. Há uma entrada pública de exploit referenciada, mas isso sozinho não confirma exploração na natureza.

Quais versões são afetadas?

Segundo a descrição, a versão 1.48 e anteriores são afetadas. O registro não informa uma versão corrigida, então consulte a página do plugin e o changelog do fornecedor.

O que os administradores devem fazer agora?

Verifique a versão instalada do plugin, atualize quando uma correção for confirmada ou remova o plugin se não houver correção verificável, e impeça a execução de scripts nos diretórios de upload.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.