PT-2026-56414 · WordPress · Blocksy Companion Pro

Publicado 2026-07-08 · Atualizado 2026-07-08 · CVE-2026-58480

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Blocksy Companion Pro plugin for WordPress versões anteriores a 2.1.47

Description Um problema de upload arbitrário de arquivos não autenticado existe no recurso Advanced Reviews. A função save attachments() não valida adequadamente as extensões de arquivo, especificamente devido a uma verificação de substring strpos() falha na extensão Custom Fonts. Um invasor pode ignorar essa validação usando nomes de arquivos com extensões duplas, como shell.woff2.php, permitindo o upload de arquivos executáveis que o servidor web processa como PHP, resultando em execução remota de código.

Recommendations Atualize o Blocksy Companion Pro plugin for WordPress para a versão 2.1.47 ou posterior.

Correção

Unrestricted File Upload

Enumeração de Fraquezas

CWE-434

Identificadores relacionados

CVE-2026-58480

Produtos afetados

Blocksy Companion Pro

Referências · 6

• https://patchstack.com/database/wordpress/plugin/blocksy-companion/vulnerability/wordpress-blocksy-companion-plugin-2-1-46-unauthenticated-arbitrary-file-upload-vulnerability · Nota
• https://wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/blocksy-companion/blocksy-companion-2146-unauthenticated-arbitrary-file-upload-via-blc-review-images-parameter · Nota
• https://vulncheck.com/advisories/blocksy-companion-pro-unauthenticated-file-upload-via-save-attachments · Nota
• https://twitter.com/OrizonCyber/status/2074886245386244583 · Publicação no Twitter
• https://wordpress.org/plugins/blocksy-companion · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-58480 · Nota de Segurança