CVE-2026-56059: Upload Arbitrário de Arquivo por Assinante no Tema WordPress Travel Booking
A CVE-2026-56059 é uma vulnerabilidade crítica de upload arbitrário de arquivo no Travel Booking, que afeta versões até a 2.2.5 inclusive, segundo a Patchstack. A CNA atribui pontuação CVSS 3.1 de 9,9 e a classificação CWE-434, e o registro indica que basta privilégio de Subscriber. O registro não informa versão corrigida e não há exploração confirmada nas fontes consultadas.
Visão geral
O registro descreve uma vulnerabilidade de upload arbitrário de arquivo no Travel Booking, que afeta versões até a 2.2.5 inclusive. A descrição refere-se a acesso em nível de Subscriber, e a classificação CWE é a CWE-434, Upload Irrestrito de Arquivo com Tipo Perigoso.
Impacto
- Pontuação base CVSS 3.1 de 9,9 (crítica), vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H, fornecida por audit@patchstack.com.
- O vetor indica alto impacto em confidencialidade, integridade e disponibilidade, com mudança de escopo.
- Falhas de upload irrestrito podem permitir que arquivos de tipos não previstos sejam armazenados no servidor. O registro não detalha as consequências em um ambiente específico.
Produtos e versões afetadas
- Produto: Travel Booking, versões até a 2.2.5 inclusive, conforme o registro.
- O caminho da referência da Patchstack sugere um tema para WordPress (inferência).
- O registro não contém entradas estruturadas de versões afetadas ou corrigidas.
Status de exploração
O registro indica kev.listed como falso, portanto este CVE não consta ali como explorado ativamente. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0,00479, com percentil 0,39627, datada de 2026-10-13.
Correção e mitigação
- O registro não identifica versão corrigida. Verifique com o fornecedor e no aviso da Patchstack se há atualização e aplique-a quando confirmada.
- Enquanto não houver correção confirmada, revise quais contas possuem acesso de Subscriber e se as funções de upload de arquivos estão acessíveis a elas.
- Mantenha o núcleo do WordPress, temas e plugins atualizados e remova componentes que não estão em uso.
Orientações de detecção
- Revise arquivos enviados recentemente em diretórios de mídia e de temas, procurando tipos ou nomes inesperados.
- Audite a atividade de upload de contas com baixo privilégio e verifique os logs do servidor web em busca de requisições incomuns a arquivos enviados.
- Compare o inventário de arquivos com uma linha de base confiável para identificar inclusões não autorizadas.
Limitações das informações disponíveis
- O registro não fornece detalhes técnicos de exploração, nem intervalo de versões além do máximo informado, nem versão corrigida.
- A resposta do fornecedor e a disponibilidade de correção são desconhecidas a partir do registro.
- O status da fonte é Deferred, portanto os detalhes podem mudar à medida que as fontes forem atualizadas.
Perguntas frequentes
Quais versões do Travel Booking são afetadas pelo CVE-2026-56059?
O registro informa versões até a 2.2.5 inclusive. Não há intervalo estruturado nem versão corrigida no registro.
Há evidência de exploração ativa dessa vulnerabilidade?
O registro indica kev.listed como falso, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.