CVE-2026-6960: BookingPress Pro para WordPress: upload irrestrito de arquivos

Visão geral

O registro descreve uma falha de upload irrestrito de arquivos no plugin BookingPress Pro para WordPress, identificada como CVE-2026-6960 e classificada como CWE-434 (Upload Irrestrito de Arquivo com Tipo Perigoso). Segundo o registro, a causa é a ausência de validação do tipo de arquivo na função bookingpress_validate_submitted_booking_form_func. A entidade CNA responsável é a Wordfence.

Impacto

O registro informa pontuação CVSS 3.1 de 9.8 (Crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
A descrição afirma que os arquivos enviados podem viabilizar execução remota de código no servidor afetado.
A descrição indica que atacantes não autenticados podem explorar o problema, o que é coerente com o componente PR:N do vetor.

Produtos e versões afetadas

Produto: plugin BookingPress Pro para WordPress.
Intervalo descrito: todas as versões até a 5.6 inclusive.
Condição: a exploração depende de um campo personalizado de assinatura adicionado ao formulário de reserva.
Os campos estruturados de versões afetadas e correções estão vazios no registro, então o intervalo deve ser confirmado junto ao fornecedor e aos dados da Wordfence.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA.
Nenhuma exploração confirmada aparece nas fontes consultadas para esta análise.
A probabilidade EPSS no registro é 0,00869 (percentil 0,57698), que estima a chance de exploração, mas não a confirma.

Correção e mitigação

Verifique se o BookingPress Pro está instalado e qual versão está ativa. Versões até a 5.6 estão dentro do intervalo descrito.
Atualize para uma versão lançada pelo fornecedor após a 5.6. O registro não informa a versão corrigida, então confirme a versão atual no site do fornecedor ou na página da Wordfence.
Se a atualização não puder ser feita de imediato, revise a configuração do formulário de reserva e remova o campo personalizado de assinatura caso ele não seja necessário.
Restrinja os tipos de arquivo aceitos nos diretórios de upload e garanta que esses diretórios não executem scripts.
Use um firewall de aplicação web ou controles equivalentes como camada temporária, validando seu efeito em ambiente de testes antes.

Orientações de detecção

Faça um inventário dos sites WordPress com o plugin BookingPress Pro e registre as versões instaladas.
Revise os diretórios de upload em busca de arquivos inesperados, especialmente de tipos de script ou executáveis, e de arquivos modificados recentemente fora da atividade normal.
Analise os logs do servidor web em busca de envios incomuns ao processamento do formulário de reserva, em nível geral, e correlacione com eventos de criação de arquivos.
Considere monitoramento de integridade de arquivos nos diretórios do WordPress.

Limitações das informações disponíveis

O registro não inclui versão corrigida, texto de aviso do fornecedor nem lista estruturada de versões afetadas além da descrição.
A data do EPSS no registro (2026-10-13) é posterior à data de publicação (2026-05-21), portanto o valor deve ser verificado antes do uso.
As fontes não informam quantos sites usam um campo personalizado de assinatura, o que impede estimar a exposição a partir do registro.
O status do registro é Deferred, então os detalhes podem mudar.

Perguntas frequentes

A CVE-2026-6960 está sendo explorada ativamente?

O registro indica que a CVE não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas. O valor EPSS apenas estima a probabilidade de exploração.

Em que condições a falha pode ser explorada?

Segundo o registro, a exploração só é possível quando um campo personalizado de assinatura foi adicionado ao formulário de reserva de uma instalação afetada do BookingPress Pro.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.