CVE-2026-42756: Plugin QuickWebP para WordPress até 3.2.7: Path Traversal com Exclusão Arbitrária de Arquivos

Visão geral

O registro da CVE descreve uma falha de path traversal (CWE-22) no plugin QuickWebP para WordPress. A Patchstack é a CNA responsável por este registro, publicado em 2026-05-27. O título menciona exclusão arbitrária de arquivos, mas a descrição trata apenas do path traversal, por isso o alcance exato da exclusão não está detalhado.

Impacto

A Patchstack atribui pontuação base CVSS 3.1 de 9.9, com o vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H.
Os dados SSVC do registro indicam impacto técnico total.
Segundo o título do registro, um atacante poderia excluir arquivos arbitrários. Inferência: a remoção de arquivos essenciais ou de configuração de um site WordPress pode tirá-lo do ar ou comprometer sua integridade.

Produtos e versões afetadas

O registro indica o plugin Ludwig You QuickWebP e lista a faixa afetada como versões até 3.2.7.
O limite inferior da faixa está registrado como n/a, portanto a primeira versão afetada é desconhecida.
O registro não lista versão corrigida. Isso não significa que não exista correção.

Situação de exploração

O registro mostra que esta CVE não consta no catálogo KEV da CISA.
O valor de exploração no SSVC é none e o valor de automatização é no.
A probabilidade EPSS é 0.00548, com percentil de 0.44354.
Nenhuma exploração confirmada aparece nas fontes consultadas.

Correção e mitigação

Identifique todos os sites WordPress com o plugin QuickWebP instalado e registre a versão de cada um.
Como o registro não lista versão corrigida, consulte a entrada da Patchstack e a distribuição oficial do plugin em busca de uma versão que trate o problema.
Se não houver versão corrigida confirmada, considere desativar e remover o plugin até que uma correção esteja disponível.
Mantenha cópias de segurança atualizadas e testadas dos arquivos e do banco de dados, para restaurar qualquer conteúdo excluído.
Restrinja o acesso administrativo ao WordPress e mantenha o núcleo, temas e outros plugins atualizados.

Orientação para detecção

Execute verificações de integridade nos diretórios de plugins, temas e uploads, com alerta para arquivos ausentes ou removidos de forma inesperada.
Revise os logs do servidor web e da aplicação em busca de requisições incomuns direcionadas ao plugin QuickWebP.
Investigue erros inesperados ou conteúdo ausente no site, pois podem indicar exclusão de arquivos.

Limitações das informações disponíveis

O registro não inclui detalhes técnicos do caminho de código vulnerável nem os privilégios exigidos além do vetor CVSS.
A descrição não menciona exclusão de arquivos, portanto esse efeito vem apenas do título do registro.
O limite inferior da faixa afetada não é especificado.
Nenhuma versão corrigida nem aviso oficial do fabricante consta nas fontes consultadas.
A data EPSS do registro (2026-10-13) é posterior à data de publicação, por isso o valor deve ser interpretado com cautela.

Perguntas frequentes

O CVE-2026-42756 está sendo explorado ativamente?

O registro mostra que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O valor de exploração no SSVC é none.

Quais versões do QuickWebP são afetadas?

O registro lista como afetadas as versões até 3.2.7. O limite inferior da faixa não é especificado.

Existe versão corrigida?

O registro não lista versão corrigida. Consulte a entrada da Patchstack e a distribuição oficial do plugin em busca de uma versão que trate o problema.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.