CVE-2026-45444: WP Swings Gift Cards For WooCommerce Pro
A CVE-2026-45444 é uma falha de upload irrestrito de arquivo no plugin Gift Cards For WooCommerce Pro para WordPress, da WP Swings, que afeta versões até a 4.2.6 inclusive, segundo a Patchstack. O registro atribui pontuação CVSS 3.1 de 10 (crítica), com vetor de rede e sem necessidade de privilégios ou interação do usuário. Não há exploração confirmada nas fontes consultadas, e o CVE não consta no catálogo KEV da CISA.
Visão geral
A CVE-2026-45444 descreve um upload irrestrito de arquivo de tipo perigoso (CWE-434) no plugin Gift Cards For WooCommerce Pro para WordPress. O registro foi publicado em 20/05/2026 e o CNA é a Patchstack. O status do registro consta como Deferred nos dados consultados.
Impacto
O vetor CVSS 3.1 informado pela Patchstack (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) indica um problema acessível pela rede, de baixa complexidade, sem privilégios exigidos e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade e mudança de escopo. Os dados SSVC indicam impacto técnico total e automatizável como sim.
Produtos e versões afetadas
- WP Swings Gift Cards For WooCommerce Pro, versões até 4.2.6 inclusive.
O registro não informa uma versão corrigida.
Status de exploração
O CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0,00522, com percentil 0,42707.
Correção e mitigação
- Identifique instalações do Gift Cards For WooCommerce Pro e compare a versão com a faixa afetada.
- Consulte o registro da Patchstack e o fornecedor para informações atualizadas de correção.
- Restrinja as permissões de envio de arquivos e revise quais perfis podem enviar arquivos até que uma versão corrigida seja confirmada.
Orientação de detecção
- Revise diretórios de upload em busca de tipos de arquivo executáveis ou scripts inesperados e eventos recentes de criação de arquivos.
- Monitore os logs do servidor web em busca de requisições incomuns a endpoints de upload do plugin.
Limitações das informações disponíveis
O registro não informa versão corrigida, o endpoint vulnerável específico nem detalhes técnicos do tratamento de uploads. A descrição indica a faixa afetada como de n/a até 4.2.6. Se a exploração é possível sem autenticação deve ser verificado nos dados do fornecedor.
Perguntas frequentes
Quais versões do Gift Cards For WooCommerce Pro são afetadas?
O registro lista versões até 4.2.6 inclusive. Nenhuma versão corrigida é informada nos dados consultados.
Esta vulnerabilidade está sendo explorada ativamente?
O CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.
O que administradores devem fazer agora?
Identificar instalações, verificar no fornecedor e na Patchstack atualizações de correção e restringir permissões de envio de arquivos até que uma versão corrigida seja confirmada.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.