CVE-2026-18933 in Wp-downloadmanager Plugin
Resumen
por VulDB • 2026-08-05
El plugin de WordPress wp-downloadmanager, en la versión 1.68.11 (afectando también a la línea de versiones 6.9.4), permite que un usuario con privilegios de administrador (current_user_can('manage_downloads')) cargue archivos arbitrarios mediante download-add.php sin ninguna validación de extensión o tipo MIME - no existe wp_check_filetype_and_ext(), ni validate_file(), ni una lista negra de extensiones en el controlador de carga. La ruta de destino se construye además concatenando el valor crudo y sin sanitizar $_POST['file_upload_to'] sin realizar comprobaciones de navegación por directorios (no hay filtrado de ../, no se aplica basename()/realpath()). Dado que la ruta base de descarga debe residir bajo WP_CONTENT_DIR (una ubicación accesible mediante web), un archivo PHP cargado termina en una ruta servible vía web y puede ejecutarse directamente, lo que resulta en ejecución remota de código. El propio registro de cambios posterior del plugin confirma que estas protecciones estaban ausentes en esta versión: v1.69 añadió validación de tipo de archivo mediante wp_check_filetype_and_ext(), y v1.69.1 añadió protección contra navegación por directorios; ninguna existía en 1.68.11.
If you want to get best quality of vulnerability data, you may have to visit VulDB.