CVE-2026-62032: Plugin DirectoryPress para WordPress - Inclusão Local de Arquivo sem Autenticação
A CVE-2026-62032 é uma falha de Inclusão Local de Arquivo sem autenticação no plugin DirectoryPress para WordPress, da Designinvento, que afeta as versões até 3.6.27 inclusive. A Patchstack atribuiu nota 9,8 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade. O registro não informa versão corrigida e a CVE não consta no catálogo KEV da CISA.
Visão geral
O registro descreve uma Inclusão Local de Arquivo sem autenticação no DirectoryPress, nas versões até 3.6.27 inclusive. Foi publicada em 2026-10-10 e atribuída pela CNA Patchstack. O CWE indicado é o CWE-98, denominado PHP Remote File Inclusion, que não corresponde à descrição de inclusão local; isso é apontado nas limitações.
Impacto
As métricas CVSS (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) indicam acesso pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário, escopo inalterado e alto impacto em confidencialidade, integridade e disponibilidade. Os dados SSVC marcam o impacto técnico como total e a automatização como sim. Uma falha de inclusão de arquivo pode expor arquivos legíveis pelo servidor web e, dependendo da configuração, permitir efeitos adicionais; o registro não confirma quais desses efeitos se aplicam.
Produtos e versões afetadas
- Produto: Designinvento DirectoryPress, plugin para WordPress
- Afetados: até 3.6.27 inclusive
- Versão corrigida: não informada no registro
Status de exploração
O registro indica que a CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. O valor de exploração no SSVC é none. A probabilidade EPSS é 0,00349, com percentil de 0,2734, datada de 2026-10-23.
Correção e mitigação
- Identifique todos os sites que executam DirectoryPress na versão 3.6.27 ou anterior.
- Consulte a entrada da Patchstack e o fabricante em busca de uma versão atualizada, pois o registro não informa versão corrigida.
- Se não houver correção confirmada, considere desativar o plugin até que uma versão corrigida seja verificada.
- Reduza a exposição restringindo o acesso quando possível, mantendo o núcleo do WordPress e os demais plugins atualizados e revisando as permissões de arquivos no ambiente de hospedagem.
Orientações de detecção
- Revise os logs de acesso do servidor web e do WordPress em busca de requisições incomuns às funcionalidades do DirectoryPress, especialmente com parâmetros semelhantes a caminhos de arquivo apontando para locais inesperados.
- Monitore leituras inesperadas de arquivos, arquivos novos ou modificados nos diretórios de plugins e uploads e alterações na configuração do WordPress.
Limitações das informações disponíveis
- Nenhuma versão corrigida está registrada, portanto o status de correção é desconhecido.
- O CWE-98 (PHP Remote File Inclusion) difere da descrição de Inclusão Local de Arquivo; a classe exata da fraqueza deve ser confirmada com a CNA.
- O registro não contém detalhes técnicos de exploração, e esta análise não acrescenta nenhum.
- O status do registro é Deferred, portanto os dados podem mudar.
Perguntas frequentes
Quais versões do DirectoryPress são afetadas pela CVE-2026-62032?
O registro indica as versões até 3.6.27 inclusive, da Designinvento, como afetadas.
Existe versão corrigida?
Não. O registro não informa versão corrigida; consulte a entrada da Patchstack e o fabricante para verificar uma atualização.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que a CVE não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
O que os administradores devem fazer agora?
Identificar as instalações afetadas, acompanhar atualizações do fabricante, considerar a desativação do plugin se não houver correção e revisar os logs em busca de requisições incomuns.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.