CVE-2026-18933 in Wp-downloadmanager Plugin
Sumário
de VulDB • 05/08/2026
O plugin WordPress wp-downloadmanager, na versão 1.68.11 (afetando também a linha de lançamento 6.9.4), permite que um usuário com privilégios administrativos (current_user_can('manage_downloads')) faça upload de arquivos arbitrários via download-add.php, sem validação alguma de extensão ou tipo MIME - não há wp_check_filetype_and_ext(), nem validate_file(), e nenhuma lista negra de extensões existe no manipulador de upload. O caminho de destino é adicionalmente construído concatenando o valor bruto e não sanitizado $_POST['file_upload_to'] sem verificação de traversal (sem filtragem ../, sem aplicação de basename()/realpath()). Como o caminho base do download deve residir sob WP_CONTENT_DIR (um local acessível via web), um arquivo PHP enviado termina em um caminho servível pela web e pode ser executado diretamente, resultando em execução remota de código. O próprio changelog posterior do plugin confirma que essas proteções estavam ausentes nesta versão: a v1.69 adicionou validação de tipo de arquivo via wp_check_filetype_and_ext(), e a v1.69.1 adicionou proteção contra directory-traversal - nenhuma das duas existia na 1.68.11.
If you want to get best quality of vulnerability data, you may have to visit VulDB.