PT-2026-45702 · Frankpw · Fpw Category Thumbnails

Nabil Irawan · CVE-2026-2382 · Publicado 2026-06-02 · Atualizado 2026-06-11

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas FPW Category Thumbnails versões anteriores a 1.9.6

Description Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de Assinante ou superior podem injetar scripts web arbitrários através do parâmetro id da ação AJAX 'fpw fs get file'. Esses scripts são executados sempre que um administrador acessa a página de configurações do plugin.

Recommendations Atualize para uma versão posterior à 1.9.5. Restrinja o acesso à ação AJAX 'fpw fs get file' para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-2382

Produtos afetados

Fpw Category Thumbnails

Referências · 6

• https://reddit.com/r/StopBadBots/comments/1u38lfq/25_unpatched_wordpress_plugins_remove_them_today · Publicação no Reddit
• https://plugins.trac.wordpress.org/browser/fpw-category-thumbnails/tags/1.9.5/classes/fpw-category-thumbnails-class.php#L54 · Nota
• https://plugins.trac.wordpress.org/browser/fpw-category-thumbnails/tags/1.9.5/ajax/getimageid.php#L10 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-2382 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/fpw-category-thumbnails/tags/1.9.5/code/table.php#L53 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/1fdbddd7-8713-48c8-98d6-0a155ca68325?source=cve · Nota