CVE-2026-32524: Upload irrestrito de arquivo perigoso no plugin wplr-sync do Jordy Meow Photo Engine

Visão geral

A CVE-2026-32524 está classificada como CWE-434, Upload Irrestrito de Arquivo com Tipo Perigoso. O registro a associa ao componente wplr-sync do Jordy Meow Photo Engine e afirma que ela permite enviar um web shell para um servidor web. As informações foram obtidas no aviso da Patchstack e na entrada do NVD.

Impacto

Um web shell instalado em um servidor web pode permitir controle remoto persistente do ambiente de hospedagem, dependendo da configuração do servidor.
A CNA atribuiu nota 9.1 (crítica) pelo CVSS 3.1, com o vetor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H. Esse vetor indica acesso pela rede, baixa complexidade, privilégios altos exigidos, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade.
O componente PR:H significa que a nota considera um invasor que já possui privilégios elevados. A exposição real depende de quem consegue alcançar a função de upload vulnerável em cada site.

Versões e produtos afetados

O registro descreve a faixa afetada como de n/a até a versão 6.4.9, inclusive. O limite inferior não é informado e a lista estruturada de afetados está vazia, portanto as compilações vulneráveis devem ser confirmadas com o fornecedor ou na página da Patchstack.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, logo não há exploração ativa confirmada por essa fonte. Nas fontes consultadas não aparece exploração confirmada. A probabilidade EPSS é baixa (cerca de 0,5 por cento), trata-se de uma estimativa estatística de probabilidade e não de evidência de que tenha havido exploração.

Correção e mitigação

O registro não contém versão corrigida. Verifique com o fornecedor e na página da Patchstack se há uma versão com correção e aplique-a assim que disponível.
Se não houver correção confirmada, considere desativar o componente wplr-sync até validar uma versão corrigida.
Restrinja quem pode usar recursos de upload e remova contas sem necessidade desse acesso.
Configure o servidor web para impedir a execução de scripts nos diretórios de upload, o que limita o efeito de um web shell depositado.
Revise o site em busca de arquivos executáveis ou scripts adicionados recentemente e troque credenciais se houver suspeita de comprometimento.

Orientação para detecção

Use monitoramento de integridade de arquivos nos diretórios de upload e do plugin para alertar sobre novos scripts ou executáveis.
Analise os logs do servidor web em busca de requisições inesperadas a arquivos recém-criados nos caminhos de upload e atividade incomum nos endpoints do plugin.
Compare os arquivos do plugin com uma cópia íntegra obtida de fonte confiável.

Limitações das informações disponíveis

O registro não traz versão corrigida, patch nem declaração de correção do fornecedor.
O limite inferior da faixa afetada é informado como n/a.
As listas de afetados e de correções estão vazias, e não há dados SSVC.
Há apenas uma referência de aviso (Patchstack) no registro, o que limita os detalhes técnicos independentes.
O campo de data do EPSS deve ser verificado antes de usar esse valor.

Perguntas frequentes

O que é a CVE-2026-32524?

É uma falha de upload irrestrito de arquivo (CWE-434) no componente wplr-sync do Jordy Meow Photo Engine, que, segundo o registro, permite enviar um web shell para um servidor web.

Quais versões são afetadas?

O registro indica versões de n/a até a 6.4.9, inclusive. O limite inferior não é informado, então confirme a faixa exata com o fornecedor ou com a Patchstack.

Existe correção?

O registro não informa versão corrigida. Verifique o aviso da Patchstack e do fornecedor e, se não houver correção confirmada, considere desativar o componente.

Há exploração ativa?

Esta CVE não consta no catálogo KEV da CISA no registro, e nas fontes consultadas não há exploração confirmada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.