CVE-2026-25345: Plugin WordPress SimpLy Gallery até 3.3.2 - Execução Arbitrária de Código

Visão geral

O registro descreve uma validação imprópria de quantidade especificada em entrada no plugin WordPress SimpLy Gallery (identificador simply-gallery-block), da GalleryCreator, associada ao CWE-1284. A descrição indica acesso a funcionalidade que não está devidamente restrita por listas de controle de acesso, enquanto a entrada do Patchstack intitula a falha como execução arbitrária de código. As versões afetadas são listadas até a 3.3.2, inclusive.

Impacto

• O CNA classifica a falha como crítica, com pontuação base 9.9 e vetor que indica alcance pela rede, baixa complexidade de ataque, privilégios baixos exigidos, nenhuma interação do usuário, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade.
• Os dados SSVC do registro classificam o impacto técnico como total.
• Se o impacto inclui execução de código no servidor aparece apenas no título; o registro não descreve o mecanismo.

Produtos e versões afetadas

• GalleryCreator SimpLy Gallery (simply-gallery-block), versões até a 3.3.2, inclusive.
• O registro não lista versão corrigida. Não é possível saber, pelas fontes consultadas, se existe uma versão com correção.

Status de exploração

• O registro indica que este CVE não está listado no catálogo KEV da CISA.
• A exploração no SSVC está registrada como none e a automatização como no.
• Nenhuma exploração confirmada aparece nas fontes consultadas.
• A probabilidade EPSS está registrada como 0.00464, com percentil 0.39256.

Correção e mitigação

• Identifique se o plugin SimpLy Gallery está instalado nos sites WordPress e qual versão está em uso.
• Considere instalações até a versão 3.3.2 como potencialmente vulneráveis e verifique com o fornecedor ou na entrada do Patchstack se há uma atualização.
• Se não houver correção disponível, avalie desativar ou remover o plugin em sites expostos, limitar o acesso às funções administrativas e revisar perfis e privilégios de usuários.
• Acompanhe o fornecedor e o Patchstack, pois o registro pode ser revisado.

Orientações de detecção

• Revise os logs do servidor web e da aplicação em busca de requisições inesperadas ao plugin e de atividade incomum de contas com privilégios baixos.
• Verifique nas instalações WordPress a existência de usuários administrativos inesperados, arquivos desconhecidos ou arquivos do plugin modificados.
• Quando possível, aplique monitoramento de integridade de arquivos ao diretório do plugin.

Limitações das informações disponíveis

• O registro não contém detalhes técnicos da falha, dos componentes afetados nem uma versão corrigida.
• O título menciona execução arbitrária de código, enquanto a descrição menciona restrições de controle de acesso; o registro não explica como esses pontos se relacionam.
• A descrição usa n/a como limite inferior, então versões mais antigas não são caracterizadas.
• A data do EPSS no registro não corresponde claramente à data de publicação; os valores são reportados como registrados.

Perguntas frequentes

Quais versões do SimpLy Gallery são afetadas?

O registro lista versões até a 3.3.2, inclusive. Não há versão corrigida listada, então não é possível saber, pelas fontes consultadas, se existe correção.

Esta vulnerabilidade está sendo explorada ativamente?

O registro não lista este CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Os dados SSVC registram exploração como none.

O que os administradores de sites devem fazer agora?

Identifique as instalações do plugin, verifique com o fornecedor ou o Patchstack se há atualização e, sem correção, avalie desativar o plugin em sites expostos enquanto revisa privilégios de usuários e logs.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.