CVE-2026-7515: Vulnerabilidade de Inclusão Local de Arquivo no Plugin BetterDocs Pro para WordPress
A CVE-2026-7515 afeta o plugin BetterDocs Pro para WordPress nas versões até a 3.8.0, inclusive, por meio do parâmetro doc_style. O registro descreve uma inclusão local de arquivos que pode ser explorada sem autenticação e recebe pontuação CVSS 3.1 de 9.8 da Wordfence. Não há exploração confirmada nas fontes consultadas, e o registro não informa versão corrigida.
Visão geral
A CVE-2026-7515 é uma falha de Inclusão Local de Arquivo no plugin BetterDocs Pro para WordPress. Segundo o registro, a falha é alcançável por meio do parâmetro doc_style. A CNA associou o problema ao CWE-98, nomeado PHP Remote File Inclusion, uma divergência de nomenclatura discutida na seção de limitações.
Impacto
- O registro afirma que atacantes não autenticados poderiam incluir e executar arquivos .php arbitrários no servidor.
- As consequências citadas incluem contornar controles de acesso, obter dados sensíveis e executar código onde arquivos .php possam ser enviados e incluídos.
- A pontuação CVSS 3.1 de 9.8 (Crítica) reflete o vetor do registro, que indica acesso pela rede, baixa complexidade, ausência de privilégios, ausência de interação do usuário e alto impacto na confidencialidade, integridade e disponibilidade.
Produtos e versões afetadas
- Produto: plugin BetterDocs Pro para WordPress.
- Versões afetadas: até a 3.8.0, inclusive, conforme a descrição do registro.
- Versões corrigidas: nenhuma é informada no registro. A ausência de versão corrigida não significa que não exista correção, por isso comunicados do fornecedor devem ser verificados.
Status de exploração
- O registro indica que a CVE não consta no catálogo KEV da CISA.
- Não há exploração ativa confirmada nas fontes consultadas para esta análise.
- O registro não contém pontuação EPSS.
Correção e mitigação
- Mapeie todos os sites WordPress que utilizam o BetterDocs Pro e confirme a versão instalada.
- Planeje a atualização para uma versão posterior à 3.8.0. Esta é uma inferência a partir do intervalo informado; confirme a versão corrigida no changelog do BetterDocs.
- Se a atualização não puder ser aplicada de imediato, considere desativar o plugin onde ele não for essencial e restringir o acesso a funções administrativas e de manipulação de arquivos.
- Revise se arquivos PHP podem ser enviados para locais que a aplicação possa incluir, e reforce as restrições de upload.
- Mantenha o núcleo do WordPress, temas e demais plugins atualizados.
Orientações de detecção
- Analise logs do servidor web e da aplicação em busca de requisições incomuns que utilizem o parâmetro doc_style, especialmente de origens não autenticadas.
- Monitore a presença de arquivos PHP inesperados em diretórios de upload ou do plugin, bem como arquivos modificados recentemente.
- Observe a criação de contas administrativas inesperadas ou conexões de saída suspeitas após requisições anômalas.
Limitações das informações disponíveis
- O registro não informa intervalo de versões afetadas abaixo do limite de 3.8.0 nem versão corrigida.
- A descrição fala em Inclusão Local de Arquivo, enquanto o CWE é PHP Remote File Inclusion. O registro não detalha o mecanismo exato.
- Não constam no registro detalhes técnicos de advisory, prova de conceito ou telemetria de exploração.
- Dados EPSS e SSVC estão ausentes.
Perguntas frequentes
Quais versões do BetterDocs Pro são afetadas pela CVE-2026-7515?
O registro informa que as versões até a 3.8.0, inclusive, são afetadas. Não há versão corrigida listada, por isso consulte o changelog do fornecedor para identificar a release que trata o problema.
A CVE-2026-7515 está sendo explorada ativamente?
O registro não a inclui no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas. Ainda assim, a pontuação crítica justifica a aplicação rápida de correções.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.