CVE-2026-25413: WPBookit Pro (plugin WordPress) - Upload irrestrito de arquivo (CWE-434)

Visão geral

A CVE-2026-25413 descreve um upload irrestrito de arquivo com tipo perigoso (CWE-434) no plugin WPBookit Pro para WordPress, identificado como wpbookit-pro e publicado pela iqonicdesign. O registro indica a faixa afetada como n/a até 1.6.18, sendo que a notação '<=' inclui a versão 1.6.18. A CNA Patchstack atribuiu o registro.

Impacto

O vetor CVSS 3.1 do registro indica ataque pela rede, privilégios baixos exigidos, nenhuma interação do usuário, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade.
Inferência: falhas de upload desse tipo podem permitir que um usuário com acesso limitado grave arquivos no servidor que a aplicação web depois processe ou execute, o que pode levar a um comprometimento mais amplo do site.
O registro não descreve o caminho exato de exploração.

Produtos e versões afetadas

Produto: WPBookit Pro (wpbookit-pro), plugin WordPress da iqonicdesign.
Faixa no registro: n/a até 1.6.18, inclusive.
A lista estruturada de afetados está vazia e nenhuma versão corrigida é informada. A ausência de versão corrigida não significa que não exista correção; significa apenas que o registro não a informa.

Status de exploração

O registro mostra o plugin como não listado no catálogo KEV da CISA, portanto não há base para afirmar exploração ativa por esse critério.
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
O registro EPSS traz probabilidade de 0,00328 e percentil de 0,24128, com data 2026-10-13 conforme informado. Esses valores estimam a probabilidade de exploração e não são evidência de ataques.

Correção e mitigação

Identifique todos os sites WordPress que usam o WPBookit Pro e verifique se a versão instalada é a 1.6.18 ou anterior.
Acompanhe o fabricante e o aviso da Patchstack para uma versão corrigida e aplique a atualização assim que estiver disponível e validada.
Se não houver correção e o plugin não for essencial, considere desativá-lo ou removê-lo.
Restrinja o envio de arquivos a perfis confiáveis e revise contas com perfis de baixo privilégio.
Aplique validação de tipo de arquivo no servidor e impeça a execução de scripts nos diretórios de upload.
Mantenha o núcleo do WordPress e os demais plugins atualizados e revise as regras de firewall de aplicação web para a funcionalidade afetada.

Orientação para detecção

Verifique os diretórios de upload em busca de arquivos inesperados, especialmente scripts do servidor ou arquivos com extensão e conteúdo incompatíveis.
Use monitoramento de integridade de arquivos nas pastas do WordPress e do plugin para identificar arquivos novos ou alterados.
Analise os logs do servidor web em busca de requisições incomuns às funções de upload do plugin e de criação recente de contas com perfis de baixo privilégio.
Trate qualquer arquivo inesperado encontrado em local de upload como possível comprometimento e investigue.

Limitações das informações disponíveis

O registro não traz versão corrigida, detalhes de correção nem declaração do fabricante.
A faixa afetada começa em n/a, portanto a versão vulnerável mais antiga é desconhecida.
O título não foi fornecido no registro e foi redigido nesta análise.
O status da fonte no registro é Deferred, e as estruturas de afetados e correções estão vazias.
Não é possível saber pelo registro se existe prova de conceito pública.
A data do EPSS é posterior à data de publicação e deve ser confirmada nos dados atuais do EPSS.

Perguntas frequentes

Quais versões do WPBookit Pro são afetadas pela CVE-2026-25413?

O registro indica a faixa afetada como n/a até 1.6.18, incluindo a 1.6.18. A lista estruturada de afetados está vazia, portanto a versão vulnerável mais antiga é desconhecida.

Existe versão corrigida disponível?

O registro não informa versão corrigida. Isso não significa que não exista correção, então consulte o fabricante e o aviso da Patchstack para uma versão atualizada.

Esta vulnerabilidade está sendo explorada ativamente?

O registro mostra que a CVE não está listada no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.