CVE-2026-57658: Upload Arbitrário de Arquivo no Plugin TemplateSpare
A CVE-2026-57658 descreve uma falha de upload arbitrário de arquivo, exigindo privilégios de administrador, no TemplateSpare nas versões até a 4.2.0 inclusive, relatada pela Patchstack e classificada como CWE-434. O CNA atribuiu pontuação CVSS 3.1 base de 9.1 (crítica). O registro não indica inclusão no catálogo KEV da CISA nem exploração confirmada nas fontes consultadas, e não traz versão corrigida estruturada.
Visão geral
A CVE-2026-57658 descreve um problema de upload arbitrário de arquivo no TemplateSpare nas versões até a 4.2.0 inclusive, publicado pelo CNA audit@patchstack.com. O registro classifica a fraqueza como CWE-434 (Upload Irrestrito de Arquivo com Tipo Perigoso). O link de referência aponta para uma entrada da base da Patchstack em um caminho de plugin WordPress, o que sugere que o TemplateSpare é uma extensão do WordPress (inferência).
Impacto
O CNA atribuiu pontuação base CVSS 3.1 de 9.1 (crítica) com o vetor CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H. Segundo esse vetor, o ataque é alcançável pela rede com baixa complexidade, exige privilégios altos, não requer interação do usuário, altera o escopo e tem impacto alto em confidencialidade, integridade e disponibilidade. Se o servidor consegue executar o arquivo enviado não é informado no registro (desconhecido).
Produtos e versões afetadas
- Produto: TemplateSpare.
- Versões descritas: 4.2.0 e anteriores.
- O registro não traz lista estruturada de versões afetadas ou corrigidas. A faixa exata deve ser confirmada na entrada da Patchstack.
Status de exploração
O registro indica que a CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. A estimativa EPSS da FIRST é probabilidade de 0,00499 com percentil de 0,41099, que é uma estimativa estatística e não evidência de exploração.
Correção e mitigação
- Nenhuma versão corrigida consta no registro. A ausência de correção listada não significa que ela não exista; verifique a entrada da Patchstack e o fornecedor para uma versão atualizada.
- Se o fornecedor disponibilizar versão superior à 4.2.0, planeje a atualização após testes em ambiente não produtivo.
- Se nenhuma correção for confirmada, considere desativar ou remover o componente até que haja atualização do fornecedor.
- Restrinja contas de administrador ao mínimo necessário, aplique senhas fortes e autenticação multifator e revise quem pode enviar arquivos.
- Sempre que possível, impeça a execução de scripts em diretórios de upload.
Orientações de detecção
- Revise diretórios de upload em busca de arquivos inesperados, especialmente de tipos de script do lado do servidor, criados ou alterados sem mudança conhecida.
- Audite logins de administrador recentes, novas contas administrativas e alterações de permissão.
- Analise os logs do servidor web em busca de requisições de upload incomuns direcionadas ao plugin.
- Compare a integridade dos arquivos com uma linha de base confiável.
Limitações das informações disponíveis
O registro não traz lista estruturada de versões afetadas ou corrigidas, nem texto de aviso do fornecedor, nem detalhes do caminho de upload ou da lógica de validação, e não traz dados CVSS além da pontuação do CNA. O tipo de produto é inferido pela URL de referência. Confirme todos os detalhes na entrada da NVD e na página da Patchstack antes de agir.
Perguntas frequentes
O que é a CVE-2026-57658?
É uma vulnerabilidade de upload arbitrário de arquivo, exigindo privilégios de administrador, no TemplateSpare nas versões até a 4.2.0 inclusive, classificada como CWE-434.
Há exploração conhecida desta falha?
O registro indica que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Existe versão corrigida?
O registro não lista versão corrigida. Verifique a entrada da Patchstack e o fornecedor antes de concluir que ela não existe.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.