PT-2026-34842 · WordPress · Maxiblocks Builder

Teerachai Somprasong · Publicado 2026-04-24 · Atualizado 2026-04-25 · CVE-2026-2028

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas MaxiBlocks Builder versões anteriores a 2.1.9

Descrição A validação insuficiente de propriedade de arquivo na ação AJAX 'maxi remove custom image size' permite que atacantes autenticados com nível de acesso de Autor ou superior excluam arquivos de mídia arbitrários no diretório wp-content/uploads. Isso inclui arquivos enviados por outros usuários e administradores.

Recomendações Atualize para uma versão posterior à 2.1.8.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-2028

Produtos afetados

Maxiblocks Builder

Referências · 8

• https://github.com/maxi-blocks/maxi-blocks/commit/3dff1db57bfb4e6c14fa7fd42037178d1d0ce199 · Nota
• https://plugins.trac.wordpress.org/browser/maxi-blocks/trunk/core/class-maxi-image-crop.php#L44 · Nota
• https://plugins.trac.wordpress.org/changeset/3476709/maxi-blocks/trunk/core/class-maxi-image-crop.php · Nota
• https://twitter.com/CVEnew/status/2048099319530627483 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-2028 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/f50c31df-56d0-4c34-a93c-56198fe91b36?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/maxi-blocks/tags/2.1.7/core/class-maxi-image-crop.php#L44 · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3476709%40maxi-blocks&new=3476709%40maxi-blocks&sfp_email=&sfph_mail= · Nota