CVE-2026-2942: Plugin ProSolution WP Client para WordPress - Upload Irrestrito de Arquivos

Visão geral

O plugin ProSolution WP Client para WordPress contém uma falha de upload irrestrito de arquivos (CWE-434) na função 'proSol_fileUploadProcess'. Segundo o registro, a função não valida o tipo de arquivo em todas as versões até e incluindo a 1.9.9. Detalhes de referência estão disponíveis na entrada da Wordfence.

Impacto

De acordo com o registro, atacantes não autenticados podem enviar arquivos arbitrários ao servidor afetado.
O registro afirma que isso pode tornar possível a execução remota de código.
O registro informa pontuação base CVSS 3.1 de 9.8 (Crítica), com vetor de rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.

Produtos e versões afetadas

Plugin ProSolution WP Client para WordPress, em todas as versões até e incluindo a 1.9.9.
O registro não contém dados estruturados de versões afetadas ou corrigidas. Confirme o intervalo exato com o fornecedor e as fontes citadas antes de agir com base nele.

Status de exploração

Não há exploração confirmada nas fontes consultadas. Segundo o registro, esta CVE não consta no catálogo KEV da CISA. O registro inclui valores EPSS de 0.01067 (probabilidade) e 0.63901 (percentil).

Correção e mitigação

O registro não identifica uma versão corrigida. Consulte o changeset do plugin e os canais do fornecedor para a versão atual e atualize para a versão mais recente disponível.
Se a atualização não puder ser aplicada imediatamente, considere desativar o plugin enquanto ele não for essencial.
Restrinja o acesso à funcionalidade de upload sempre que possível e revise as regras de firewall de aplicação web contra abuso de envio de arquivos.
Garanta que os diretórios de upload não executem arquivos enviados como scripts.

Orientações de detecção

Revise os logs do servidor web e da aplicação em busca de requisições inesperadas relacionadas ao tratamento de upload do plugin.
Inspecione os diretórios de upload e de plugins do WordPress em busca de arquivos desconhecidos ou criados recentemente, especialmente scripts.
Monitore contas administrativas inesperadas e alterações não explicadas nos arquivos do site.

Limitações das informações disponíveis

O registro não possui dados estruturados de versões afetadas ou corrigidas, e seu status de origem é Deferred.
Disponibilidade de prova de conceito, exploração no mundo real e o conteúdo do changeset não são descritos no registro.
A data do EPSS no registro (2026-10-13) é posterior à data de publicação (2026-04-08), por isso os valores devem ser tratados com cautela.

Perguntas frequentes

Quais versões do plugin ProSolution WP Client são afetadas?

Segundo o registro, todas as versões até e incluindo a 1.9.9 são afetadas. O registro não traz dados estruturados de versões, então confirme o intervalo com o fornecedor e as fontes citadas.

Um atacante pode explorar a falha sem estar autenticado?

O registro afirma que atacantes não autenticados podem enviar arquivos arbitrários, o que pode tornar possível a execução remota de código. O vetor CVSS 3.1 informado não exige privilégios.

Há exploração confirmada no mundo real?

Não há exploração confirmada nas fontes consultadas, e o registro não lista esta CVE no catálogo KEV da CISA.

O que os administradores devem fazer agora?

Verifique se o fornecedor ou o changeset do repositório de plugins indica uma versão corrigida, atualize quando disponível e considere desativar o plugin se ele não for essencial. Enquanto isso, revise os diretórios de upload e os logs.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.