CVE-2026-1555: Tema WebStack para WordPress - Upload Arbitrário de Arquivo Não Autenticado

Visão geral

O CVE-2026-1555 é uma fraqueza de upload de arquivos no tema WebStack para WordPress, classificada como CWE-434 (Upload Irrestrito de Arquivo com Tipo Perigoso). Segundo o registro, a função io_img_upload() não valida o tipo de arquivo, o que torna a falha acessível sem autenticação em todas as versões até a 1.2024, inclusive.

Impacto

O vetor CVSS 3.1 informado pela Wordfence (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) indica vetor de rede, baixa complexidade, ausência de privilégios e de interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade.
O registro afirma que o envio de arquivos arbitrários pode viabilizar execução remota de código no servidor.
Os dados SSVC do registro classificam o problema como automatizável, com impacto técnico total.

Produtos e versões afetados

Produto: Owen WebStack (tema para WordPress).
Versões afetadas: até a 1.2024, inclusive, conforme listado no registro.
O registro não informa versão corrigida. A ausência de versão corrigida não confirma que não exista correção; as fontes analisadas não indicam uma.

Status de exploração

O CISA KEV não lista este CVE, portanto não há exploração ativa confirmada por esse catálogo. A probabilidade EPSS registrada é 0,00984 (percentil 0,61341). Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

Identifique sites que utilizem o tema WebStack e compare a versão instalada com a faixa afetada.
Acompanhe o fornecedor e o aviso da Wordfence para uma versão atualizada, já que o registro não fornece uma.
Enquanto não houver correção confirmada, considere restringir ou desativar o tema em sites expostos e avalie limitar a funcionalidade de upload por meio de controles do lado do servidor, como lista permitida rigorosa de tipos de arquivo e armazenamento fora de caminhos web executáveis.
Remova temas não utilizados e mantenha o núcleo do WordPress e os plugins atualizados.

Orientação para detecção

Revise os logs do servidor web e do WordPress em busca de requisições POST inesperadas a endpoints de upload vindas de origens não autenticadas.
Procure arquivos recém-criados com extensões executáveis ou de script nos diretórios de upload e de temas, bem como arquivos desconhecidos na raiz web.
Monitore conexões de saída inesperadas ou novas tarefas agendadas originadas do processo do servidor web.

Limitações das informações disponíveis

O registro não identifica a versão exata de correção e nenhum patch é citado.
O registro não descreve o caminho de upload, os parâmetros aceitos nem os locais exatos dos arquivos, detalhes que são intencionalmente omitidos aqui.
O CVE foi publicado em 2026-04-15 e seu status está registrado como Deferred, portanto as informações podem mudar.
A explorabilidade de uma instalação específica depende da sua configuração, que o registro não descreve.

Perguntas frequentes

O que é o CVE-2026-1555?

É uma fraqueza de upload arbitrário de arquivo não autenticado no tema WebStack para WordPress, causada pela falta de validação de tipo de arquivo na função io_img_upload(), afetando versões até a 1.2024, inclusive.

Esta vulnerabilidade está sendo explorada ativamente?

O CISA KEV não lista este CVE, e nenhuma exploração confirmada aparece nas fontes consultadas.

Existe versão corrigida?

O registro não informa versão corrigida. A ausência dela no registro não confirma que não exista correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.