CVE-2026-6555: ProSolution WP Client
A CVE-2026-6555 afeta o plugin ProSolution WP Client para WordPress nas versões até e incluindo 2.0.0. Segundo o registro, apenas o primeiro arquivo de um array de upload passa por validação de extensão e tipo MIME, enquanto todos os arquivos são gravados em um diretório acessível pela web, o que pode permitir upload arbitrário de arquivos sem autenticação. A CNA classifica como crítica, com pontuação CVSS 3.1 de 9.8, e não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-6555 é uma fraqueza de upload irrestrito de arquivos (CWE-434) no plugin ProSolution WP Client para WordPress, que afeta as versões até e incluindo 2.0.0. O registro indica que a validação de arquivos é aplicada apenas à primeira entrada do array de upload, enquanto as demais entradas continuam sendo processadas e armazenadas em local acessível pela web.
Impacto
O registro da Wordfence descreve o possível resultado como execução remota de código por meio do envio de arquivos PHP, com pontuação base CVSS 3.1 de 9.8 e vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Segundo o registro, não são exigidos privilégios nem interação do usuário.
Produtos e versões afetadas
- Prosolution ProSolution WP Client: versões até e incluindo 2.0.0.
O registro não lista versão corrigida. A ausência de correção listada não confirma que ela não exista; a situação de uma versão corrigida é desconhecida nas fontes consultadas.
Status de exploração
No registro, esta CVE não consta no catálogo KEV, portanto não há exploração ativa confirmada. Os campos SSVC indicam exploração como "none" e automatizável como "yes". A probabilidade EPSS é 0,01352 (percentil 0,70828). Esses valores são indicadores e não confirmam ataques.
Correção e mitigação
- Identifique todos os sites que utilizam o ProSolution WP Client e confirme a versão instalada.
- Verifique no fornecedor ou no repositório de plugins do WordPress se há versão posterior à 2.0.0 e aplique-a quando disponível; o registro não identifica uma.
- Enquanto uma versão corrigida não for verificada, considere desativar ou remover o plugin em sites expostos à internet onde ele não seja essencial.
- Revise os diretórios de upload em busca de arquivos executáveis inesperados e restrinja a execução de scripts nesses locais como camada adicional de defesa.
Orientação para detecção
- Analise os logs do servidor web em busca de requisições inesperadas à funcionalidade de upload do plugin originadas de fontes não autenticadas.
- Monitore os diretórios de upload quanto a novos arquivos com extensões executáveis ou tipos de conteúdo inesperados.
- Gere alertas para requisições a arquivos PHP em diretórios que deveriam conter apenas mídias ou documentos.
Limitações das informações disponíveis
O registro não fornece versão corrigida, prova confirmada de exploração em campo nem detalhes além das referências citadas. O aviso do fornecedor e o conteúdo exato da correção não estavam disponíveis. As avaliações de explorabilidade baseiam-se na descrição e nos valores SSVC e EPSS fornecidos.
Perguntas frequentes
O que é a CVE-2026-6555?
É uma vulnerabilidade de upload irrestrito de arquivos no plugin WordPress ProSolution WP Client, nas versões até e incluindo 2.0.0, em que apenas o primeiro arquivo enviado é validado.
Existe uma versão corrigida?
O registro não lista versão corrigida. A situação de uma correção é desconhecida nas fontes consultadas, por isso verifique o fornecedor ou o repositório de plugins.
Esta vulnerabilidade está sendo explorada ativamente?
A CVE não consta no catálogo KEV da CISA neste registro, e não há exploração ativa confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.