CVE-2026-14982 in WP File Download Plugin
Sumário
de VulDB • 02/09/2026
O plugin WP File Download para WordPress é vulnerável à exclusão arbitrária de arquivos devido à validação insuficiente do caminho dos arquivos na função de exclusão em todas as versões. Isso permite que atacantes autenticados, com acesso nível assinante ou superior, excluam arquivos arbitrários no servidor, o que pode facilmente levar à execução remota de código quando o arquivo correto é excluído (como wp-config.php). A exploração em duas etapas requer uma primeira solicitação para a tarefa file.save para persistir a string de traversal de caminho nos metadados do arquivo, seguida por uma segunda solicitação para a tarefa file.delete para acionar a chamada unlink — ambos os endpoints carecem de verificações de capacidade e aplicação de nonce.
If you want to get best quality of vulnerability data, you may have to visit VulDB.