CVE-2026-56027: Upload arbitrário de arquivos por clientes no Booster for WooCommerce
As versões do Booster for WooCommerce até a 8.0.1, inclusive, apresentam uma falha de upload arbitrário de arquivos acessível pela funcionalidade de clientes, classificada como CWE-434. A CNA classifica a falha como crítica, com pontuação CVSS 3.1 de 9.9. O registro não informa versão corrigida e não mostra inclusão no catálogo KEV nem exploração confirmada.
Visão geral
A CVE-2026-56027 descreve um problema de upload arbitrário de arquivos no Booster for WooCommerce, que afeta as versões até a 8.0.1, inclusive. O registro classifica a fraqueza como CWE-434 (upload irrestrito de arquivo de tipo perigoso) e a associa à funcionalidade de upload voltada aos clientes.
Impacto
- O vetor CVSS 3.1 fornecido pela CNA classifica o impacto em confidencialidade, integridade e disponibilidade como alto, com vetor de ataque pela rede, baixa complexidade, privilégios baixos exigidos e sem interação do usuário.
- O vetor inclui mudança de escopo, o que indica que as consequências podem ir além do componente vulnerável. O registro não descreve as consequências específicas.
Produtos e versões afetadas
- Booster for WooCommerce, nas versões até a 8.0.1, inclusive, conforme a descrição do registro.
- O registro não traz uma lista estruturada de versões afetadas ou corrigidas, por isso o limite exato da correção é desconhecido.
Status de exploração
- O registro indica que esta CVE não consta no catálogo KEV da CISA.
- Nenhuma exploração confirmada aparece nas fontes consultadas. O registro informa probabilidade EPSS de 0,00479 e percentil de 0,39631.
Correção e mitigação
- Verifique no fornecedor ou na página do plugin se há versão posterior à 8.0.1 e aplique-a, já que o registro não indica versão corrigida.
- Enquanto a atualização não for aplicada, limite quais contas podem usar recursos de cliente que aceitam envio de arquivos e restrinja os tipos aceitos no lado do servidor.
- Avalie se os diretórios de upload permitem a execução de scripts do servidor e remova essa permissão quando não for necessária.
Orientações de detecção
- Revise arquivos adicionados recentemente nos locais de upload do plugin em busca de tipos, extensões ou nomes inesperados.
- Monitore contas de clientes que enviem repentinamente muitos arquivos ou arquivos de tipos incomuns.
Limitações das informações disponíveis
- O registro não tem versão corrigida, descrição técnica detalhada nem dados de exploração confirmados pelo fornecedor.
- O registro traz apenas a pontuação CVSS da CNA. Sua data EPSS é posterior à data de publicação; esta análise reporta os valores como informados.
- O registro indica status de origem Deferred, portanto mais detalhes podem surgir depois.
Perguntas frequentes
Quais versões do Booster for WooCommerce são afetadas pela CVE-2026-56027?
Segundo a descrição do registro, são afetadas as versões até a 8.0.1, inclusive. O registro não informa versão corrigida, então consulte o fornecedor para verificar se há atualização.
A CVE-2026-56027 é conhecida por ser explorada ativamente?
O registro não indica essa CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.