PT-2026-20630 · WordPress · Prodigy Commerce+1

Athiwat Tiprasaharn + 2 · Publicado 2026-02-19 · Atualizado 2026-03-17 · CVE-2026-0926

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Prodigy Commerce anteriores à 3.2.9

Descrição O plugin Prodigy Commerce para WordPress está suscetível a uma vulnerabilidade de Inclusão Local de Arquivos. Isso permite que atacantes não autenticados incluam e leiam arquivos arbitrários ou executem arquivos arbitrários no servidor. A exploração dessa vulnerabilidade pode levar ao contorno de controles de acesso, obtenção de dados sensíveis ou execução de código. A vulnerabilidade deve-se à validação de entrada insuficiente do parâmetro parameters[template name]. Isso permite que atacantes incluam e executem código PHP dentro de arquivos enviados.

Recomendações Versões anteriores à 3.2.9 devem ser atualizadas. Como medida paliativa temporária, considere desativar o plugin Prodigy Commerce até que uma correção esteja disponível. Monitore os uploads de arquivos em busca de conteúdo potencialmente malicioso.

Correção

RCE

Enumeração de Fraquezas

CWE-98

Identificadores relacionados

CVE-2026-0926

Produtos afetados

Prodigy Commerce

Wordpress

Referências · 14

• https://twitter.com/0dayPublishing/status/2024347030986883329 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-0926 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset/3464655 · Nota
• https://twitter.com/offseq/status/2024363372829901043 · Publicação no Twitter
• https://t.me/CVEtracker/45078 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/prodigy-commerce/trunk/includes/helpers/class-prodigy-template.php#L55 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/de255530-6b2d-426b-9f80-dbfebd2e3307?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/prodigy-commerce/trunk/includes/frontend/class-prodigy-public.php#L491 · Nota
• https://twitter.com/CveTodo/status/2024532246862983535 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2024360210031399389 · Publicação no Twitter
• https://twitter.com/MNovofastovsky/status/2028074430820127004 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/prodigy-commerce/trunk/includes/frontend/shortcodes/class-prodigy-short-code-my-account.php#L69 · Nota
• https://twitter.com/pdnuclei_bot/status/2033694845584478643 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/prodigy-commerce/tags/3.2.9/includes/helpers/class-prodigy-template.php#L55 · Nota