PT-2026-37031 · WordPress · Betheme

Craig Smith + 1 · Publicado 2026-05-05 · Atualizado 2026-05-05 · CVE-2026-6262

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Betheme versões anteriores a 28.5

Descrição O tema Betheme para WordPress permite que atacantes autenticados com nível de acesso de contribuidor ou superior movam ou excluam arquivos locais arbitrários via path traversal (travessia de diretório). Isso ocorre porque a função upload icons() utiliza um caminho de upload controlado pelo usuário mfn-icon-upload em uma operação de movimentação de sistema de arquivos sem restringi-lo ao diretório de uploads.

Recomendações Atualize para uma versão posterior a 28.4. Como medida paliativa temporária, restrinja o acesso à função upload icons() para usuários com permissões de contribuidor.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-6262

Produtos afetados

Betheme

Referências · 4

• https://support.muffingroup.com/changelog · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/3486f114-5625-4751-a25e-2c5ab7b15b38?source=cve · Nota
• https://t.me/CVEtracker/52746 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-6262 · Nota de Segurança