CVE-2026-57331: Exclusão Arbitrária de Arquivos em Paid Videochat Turnkey Site (Plugin WordPress) por Path Traversal
A CVE-2026-57331 é uma falha crítica de exclusão arbitrária de arquivos no plugin Paid Videochat Turnkey Site, descrita como afetando versões até 7.4.8 inclusive. A CNA Patchstack atribuiu pontuação 9.9 no CVSS 3.1 e classificou a falha como path traversal (CWE-22). O registro não indica inclusão no catálogo KEV nem exploração confirmada nas fontes consultadas, e não lista versão corrigida.
Visão geral
A CNA Patchstack informa uma falha de exclusão arbitrária de arquivos no plugin WordPress Paid Videochat Turnkey Site, que afeta versões até 7.4.8 inclusive. A fraqueza é classificada como path traversal (CWE-22), e o registro associa a capacidade de exclusão ao perfil de performer.
Impacto
- O vetor CVSS 3.1 indica acesso pela rede, privilégios baixos exigidos, nenhuma interação do usuário e escopo alterado.
- Confidencialidade, integridade e disponibilidade são classificadas como altas na única pontuação registrada, de 9.9.
- Inferência: uma conta com perfil de performer pode conseguir excluir arquivos fora do local pretendido, o que pode interromper o funcionamento do site ou danificar dados da aplicação.
Produtos e versões afetadas
- A descrição afirma que as versões até 7.4.8 inclusive são afetadas.
- A lista estruturada de produtos afetados no registro está vazia, então os intervalos exatos devem ser confirmados no aviso do fabricante.
- Nenhuma versão corrigida aparece no registro. A ausência não comprova que não exista correção.
Status de exploração
- O registro indica que esta CVE não consta no catálogo KEV da CISA.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- A probabilidade EPSS registrada é 0.00548, com percentil de 0.44354.
Remediação e mitigação
- Verifique se o plugin está instalado e qual versão está em uso. Considere 7.4.8 e anteriores como no escopo, conforme a descrição.
- Aplique a atualização do fabricante quando estiver disponível e confirme-a no aviso da Patchstack.
- Enquanto não houver correção verificada, revise quais contas possuem o perfil de performer e restrinja ou remova acessos desnecessários.
- Mantenha backups atualizados dos arquivos do site e do banco de dados, e limite as permissões de arquivos do servidor web quando possível.
Orientação para detecção
- Analise logs em busca de remoções inesperadas de arquivos de mídia, tema ou plugin, e de atividade incomum em contas de performer.
- Monitore a integridade dos arquivos no diretório raiz do web server e nos diretórios de upload, observando arquivos ausentes ou alterados.
Limitações das informações disponíveis
- O registro não traz versão corrigida, lista estruturada de produtos e versões afetadas, nem detalhes do fabricante além da descrição.
- O status de origem do registro é Deferred.
- Há apenas uma pontuação CVSS registrada, fornecida pela CNA.
Perguntas frequentes
Quais versões do plugin Paid Videochat Turnkey Site são descritas como afetadas?
A descrição indica versões até 7.4.8 inclusive. A lista estruturada de produtos afetados no registro está vazia, então confirme os intervalos exatos no aviso do fabricante.
A CVE-2026-57331 é explorada ativamente?
O registro indica que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.