CVE-2026-32523: Upload irrestrito de arquivo perigoso no plugin WPJAM Basic para WordPress

Visão geral

A CVE-2026-32523 é uma fraqueza de upload de arquivos classificada como CWE-434, Upload Irrestrito de Arquivo com Tipo Perigoso, no plugin WPJAM Basic (wpjam-basic) para WordPress, de denishua. A CNA, Patchstack, descreve o problema como uma possibilidade de uso de arquivos maliciosos. Os detalhes estão na entrada da base da Patchstack.

Impacto

O vetor CVSS 3.1 registrado é CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, com pontuação base 9.9 (crítica) atribuída pela CNA.
Segundo esse vetor, o ataque é acessível pela rede, de baixa complexidade, exige privilégios baixos e nenhuma interação do usuário, altera o escopo e tem alto impacto em confidencialidade, integridade e disponibilidade.
Como a fraqueza envolve uploads irrestritos, uma exploração bem-sucedida poderia permitir o armazenamento de tipos de arquivo perigosos no servidor. O registro não detalha os efeitos específicos resultantes.

Produtos e versões afetados

Produto: WPJAM Basic (wpjam-basic), plugin para WordPress de denishua.
Intervalo segundo o registro: de n/a até 6.9.2 (menor ou igual a 6.9.2).
O registro não traz uma lista estruturada de versões afetadas ou corrigidas, por isso o limite exato deve ser confirmado na entrada da Patchstack e junto ao fornecedor.

Status de exploração

Esta CVE não consta no catálogo KEV da CISA no registro. Não há exploração ativa confirmada nem exploração em campo nas fontes consultadas. A probabilidade EPSS registrada é 0.00479, com percentil 0.39634.

Correção e mitigação

Identifique se o WPJAM Basic está instalado nos seus sites WordPress e qual versão está em uso.
Como o registro não lista versão corrigida, verifique a entrada da Patchstack e os canais oficiais do plugin em busca de atualização e aplique-a assim que for confirmada.
Enquanto não houver correção confirmada, revise quais perfis de usuário podem acessar recursos de upload, restrinja-os quando possível e mantenha o núcleo do WordPress e os demais plugins atualizados.
Teste controles compensatórios temporários, como restrições de upload no servidor web ou em um firewall de aplicação, em ambiente de homologação antes de usá-los em produção.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de criação inesperada de arquivos em diretórios de upload ou do plugin, especialmente arquivos com extensões executáveis ou de script.
Monitore a instalação do WordPress quanto a novos arquivos que não correspondam a atualizações normais, e compare a integridade dos arquivos com uma linha de base confiável.
Audite contas administrativas e configurações do plugin criadas ou alteradas recentemente.

Limitações das informações disponíveis

O registro não tem título, lista estruturada de versões afetadas ou corrigidas, nem descrição da função vulnerável ou das condições necessárias.
O registro mostra duas entradas de pontuação CVSS 3.1 com o mesmo valor, mas não explica o método de avaliação além do vetor apresentado.
O status da fonte está como Deferred, de modo que o enriquecimento futuro pode alterar esses detalhes.
A data de publicação do registro é 2026-03-25.

Perguntas frequentes

O que é a CVE-2026-32523?

É uma fraqueza de upload irrestrito de arquivos (CWE-434) no plugin WPJAM Basic para WordPress, de denishua, informada para versões até 6.9.2.

Qual é a gravidade?

A CNA Patchstack atribuiu nota 9.9 (crítica) no CVSS 3.1, com vetor de ataque pela rede e alto impacto em confidencialidade, integridade e disponibilidade.

Há exploração ativa?

A CVE não consta no KEV da CISA no registro, e não há exploração ativa confirmada nas fontes consultadas.

Existe versão corrigida?

O registro não lista versão corrigida. Consulte a entrada da Patchstack e o fornecedor do plugin para verificar atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.