PT-2026-33404 · WordPress · Kubio
Seungryeol Baek
·
Publicado
2026-04-17
·
Atualizado
2026-04-17
·
CVE-2026-5427
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
Name of the Vulnerable Software and Affected Versions
Kubio versões anteriores a 2.7.3
Description
Verificações de capacidade insuficientes na função
kubio rest pre insert import assets(), que está vinculada ao filtro rest pre insert {post type} para posts, páginas, templates e partes de templates, permitem o upload arbitrário de arquivos. Quando um post é criado ou atualizado via REST API, o software analisa atributos de bloco em busca de URLs no namespace de atributos kubio e os importa automaticamente via importRemoteFile() sem verificar se o usuário possui a capacidade upload files. Isso permite que atacantes autenticados com nível de acesso Colaborador ou superior ignorem as restrições normais de upload de mídia do WordPress e façam o upload de arquivos buscados de URLs externas para a biblioteca de mídia, criando posts de anexo no banco de dados.Recommendations
Atualizar para uma versão posterior a 2.7.2.
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Kubio