CVE-2026-42748: Plugin WPify Woo Czech para WordPress - Upload Arbitrário de Arquivo
A CVE-2026-42748 é uma vulnerabilidade de upload irrestrito de arquivo (CWE-434) no plugin WPify Woo Czech para WordPress, que afeta versões até a 5.4.1, inclusive. O registro indica que ela permite enviar uma web shell ao servidor web, e a CNA Patchstack classifica a severidade como 9.9 (Crítica) no CVSS 3.1. Não foi identificada versão corrigida nem exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-42748 é classificada como CWE-434, Upload Irrestrito de Arquivo com Tipo Perigoso, no plugin WPify Woo Czech (wpify-woo) para WordPress. O registro foi publicado em 27/05/2026 pela CNA Patchstack e consta com status de origem Deferred.
Impacto
O registro indica que a falha permite que um atacante envie uma web shell para o servidor web. O vetor CVSS 3.1 informado pela Patchstack é CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, com pontuação base 9.9. Nesse vetor, o impacto sobre confidencialidade, integridade e disponibilidade é classificado como alto, com escopo alterado.
Produtos e versões afetadas
- Produto: WPify WPify Woo Czech (wpify-woo)
- Versões afetadas: até a 5.4.1, inclusive (o registro informa "n/a" como início da faixa)
Nenhuma versão corrigida consta no registro disponível.
Status de exploração
A CVE não consta no catálogo KEV da CISA. Os campos SSVC do registro indicam exploração "none" e automatizável "no". Não foi encontrada exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0,00479 (percentil 0,39633), que é uma estimativa estatística e não uma evidência de exploração.
Remediação e mitigação
- Identifique todos os sites que utilizam o plugin WPify Woo Czech e compare a versão instalada com a faixa afetada.
- Verifique no fornecedor ou na base da Patchstack se há versão atualizada, pois o registro não informa versão corrigida.
- Enquanto não houver versão corrigida confirmada, considere desativar o plugin em sites onde ele não é essencial e restrinja a capacidade de upload a perfis confiáveis.
- Restrinja permissões de escrita em diretórios web para que arquivos enviados não possam ser executados onde são armazenados.
Orientações de detecção
- Revise logs do servidor web e da aplicação em busca de uploads inesperados, especialmente arquivos de script novos em diretórios de upload ou de plugins.
- Audite instalações do WordPress em busca de arquivos desconhecidos ou arquivos PHP modificados recentemente.
- Monitore requisições inesperadas a arquivos criados recentemente.
Limitações das informações disponíveis
O registro não inclui aviso do fornecedor, versão corrigida, detalhes de exploração nem o endpoint ou parâmetro vulnerável específico. O início da faixa afetada está como n/a. Os dados de CVSS vêm da Patchstack e são consistentes entre as duas entradas. Não há mais detalhes sobre requisitos de autenticação além do componente PR:L do vetor.
Perguntas frequentes
O que é a CVE-2026-42748?
É uma vulnerabilidade de upload irrestrito de arquivo (CWE-434) no plugin WPify Woo Czech para WordPress, que afeta versões até a 5.4.1, inclusive, segundo o registro.
Esta vulnerabilidade é explorada ativamente?
A CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Existe versão corrigida?
O registro disponível não informa versão corrigida. Consulte o fornecedor ou a Patchstack para atualizações.
O que os administradores devem fazer agora?
Identificar as instalações afetadas, considerar desativar o plugin onde ele não é essencial, restringir permissões de upload e monitorar arquivos de script inesperados.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.