PT-2026-30347 · WordPress · Wpforo Forum+1

Craig Smith + 1 · Publicado 2026-04-04 · Atualizado 2026-04-13 · CVE-2026-3666

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions wpForo Forum plugin para WordPress versões até e incluindo 2.4.16

Description O plugin wpForo Forum para WordPress é suscetível à exclusão arbitrária de arquivos devido à falta de validação do nome/caminho do arquivo contra sequências de travessia de caminho. Atacantes autenticados com acesso de nível de assinante ou superior podem excluir arquivos arbitrários no servidor, incorporando uma string de travessia de caminho criada no corpo de uma postagem do fórum e, em seguida, excluindo a postagem.

Recommendations Atualize o plugin wpForo Forum para uma versão posterior a 2.4.16.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-3666

Produtos afetados

Wordpress

Wpforo Forum

Referências · 9

• https://reddit.com/r/wpsafety/comments/1scywd0/weekly_cve_roundup_critical_rce_in_everest_forms · Publicação no Reddit
• https://plugins.trac.wordpress.org/changeset?old_path=wpforo/tags/2.4.16/classes/Posts.php&new_path=wpforo/tags/2.4.17/classes/Posts.php&old=3471614&new=3483044 · Nota
• https://twitter.com/TheHackerWire/status/2040614144098140191 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2040481234758046027 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/2040394668102349065 · Publicação no Twitter
• https://i.redd.it/vebrk5flqxug1.png · Publicação no Reddit
• https://wordfence.com/threat-intel/vulnerabilities/id/f215e320-8563-4d25-9963-ed3664b4901d?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-3666 · Nota de Segurança
• https://twitter.com/cyberbivash/status/2040418073648169103 · Publicação no Twitter