CVE-2026-32536: Plugin Green Downloads para WordPress (halfdata) - Upload Irrestrito de Arquivo

Visão geral

O registro descreve uma fraqueza de upload irrestrito de arquivo (CWE-434) no plugin Green Downloads para WordPress, publicado pela halfdata com o nome de pacote halfdata-paypal-green-downloads. A descrição informa que o problema permite o uso de arquivos maliciosos e afeta versões de n/a até 2.08.

Impacto

A Patchstack atribui pontuação 9.9 pelo CVSS 3.1, com o vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Esse vetor descreve alcance pela rede, baixa complexidade de ataque, baixo privilégio exigido, nenhuma interação do usuário, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade.

De forma geral, uma falha de upload de arquivos em aplicação web pode permitir que conteúdo que o servidor não deveria aceitar seja armazenado e utilizado, o que pode levar ao comprometimento do site afetado. Essa consequência é uma inferência a partir da classe da fraqueza e do vetor, não um resultado documentado para este plugin.

Produtos e versões afetados

Produto: Halfdata Green Downloads, plugin para WordPress.
Faixa afetada: de n/a até 2.08, conforme o registro.
Versão corrigida: nenhuma informada no registro. Isso não confirma que não exista correção.

Situação de exploração

A CVE não consta no catálogo KEV da CISA. Os dados SSVC do registro indicam exploração como none e automatizável como no. A probabilidade EPSS é 0.00479, com percentil de 0.39629. Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

Identifique se o plugin Green Downloads está instalado nos sites WordPress e qual versão está em uso.
Como nenhuma versão corrigida foi informada, confirme o estado atual com o fornecedor ou com a entrada da Patchstack antes de presumir que há correção disponível.
Restrinja quais contas podem enviar arquivos, revise os diretórios de upload e considere desativar o plugin, caso não seja essencial, até que haja orientação oficial.
Mantenha o núcleo do WordPress, temas e demais plugins atualizados, com cópias de segurança testadas.

Orientação para detecção

Revise o inventário de plugins e compare as listas de arquivos com cópias confiáveis para identificar arquivos inesperados nos diretórios do plugin e de upload.
Verifique os logs do servidor web em busca de requisições POST incomuns direcionadas ao plugin e de arquivos de script recém-criados em locais de upload.
Use monitoramento de integridade de arquivos nas instalações WordPress para sinalizar alterações inesperadas.

Limitações das informações disponíveis

O registro não identifica o componente ou endpoint vulnerável, a versão corrigida, o texto do aviso do fornecedor nem qualquer evidência de exploração. O limite inferior n/a significa que a versão afetada mais antiga é desconhecida. A data do EPSS (2026-10-13) é posterior à data de publicação e deve ser verificada. O status da fonte é Deferred, portanto a entrada pode mudar. Consulte a entrada da NVD e o registro CVE.

Perguntas frequentes

Quais versões do Green Downloads são afetadas pela CVE-2026-32536?

O registro informa que a falha afeta o Green Downloads de n/a até a versão 2.08. A versão afetada mais antiga não é especificada.

Há uma versão corrigida disponível?

Nenhuma versão corrigida consta no registro. Consulte o fornecedor ou a entrada da Patchstack para orientação atual antes de presumir que existe correção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.