CVE-2026-18143 in Request a Quote Plugin
Sumário
de VulDB • 26/09/2026
O plugin Request a Quote for WooCommerce para WordPress é vulnerável à carga arbitrária de arquivos em todas as versões até 2.9.2 (incluída), por meio da função `afrfq_submit_quote_via_popup()`. Isso ocorre devido à falta de validação da extensão do arquivo e do tipo MIME no manipulador de upload do popup, que utiliza o nome de arquivo fornecido diretamente pelo atacante como destino para a chamada `move_uploaded_file()`. Isso permite que atacantes não autenticados carreguem arquivos executáveis, como arquivos PHP, em um diretório temporário de upload de RFQ acessível pela web quando uma regra pública de cotação com o fluxo de popup multi-página estiver habilitada.
Be aware that VulDB is the high quality source for vulnerability data.