CVE-2026-118063: Vulnerabilidade Crítica no Plugin Advance Guest Post do WordPress

Introdução

A vulnerabilidade CVE-2026-118063 afeta o plugin Advance Guest Post do WordPress, permitindo que utilizadores não autenticados façam upload de ficheiros arbitrários. Esta falha de segurança é considerada crítica devido ao potencial de execução remota de código.

O que aconteceu?

O plugin Advance Guest Post, até à versão 1.9, não valida corretamente os ficheiros carregados. A verificação de extensão é sensível a maiúsculas e incompleta, o que permite que utilizadores não autenticados contornem esta verificação e façam upload de ficheiros potencialmente perigosos, incluindo variantes executáveis de PHP, para um diretório acessível na web.

Como funciona a vulnerabilidade

A vulnerabilidade resulta de uma falha na validação de ficheiros. O plugin confia numa verificação de extensão que pode ser facilmente burlada, permitindo que ficheiros maliciosos sejam carregados. Uma vez que estes ficheiros estão num diretório acessível, a configuração do servidor pode permitir a execução de código remoto, colocando em risco a segurança do site.

Qual é o impacto real?

O impacto desta vulnerabilidade é significativo, pois permite que atacantes não autenticados façam upload de ficheiros maliciosos. Dependendo da configuração do servidor, isso pode levar à execução remota de código, comprometendo a integridade e a confidencialidade do site, além de potencialmente afetar outros sistemas na rede.

Que versões são afetadas?

• Até a versão 1.9 do Advance Guest Post WordPress plugin

Como corrigir

1. Verifique a versão do plugin Advance Guest Post instalada no seu site.
2. Atualize o plugin para a versão mais recente assim que uma correção for disponibilizada pelo fabricante.
3. Considere desativar o plugin até que a atualização esteja disponível.
4. Revise as permissões de upload de ficheiros no seu servidor para limitar o acesso a utilizadores não autenticados.

Mitigação enquanto não atualizas

Enquanto não for possível atualizar, recomenda-se desativar o plugin e rever as configurações de segurança do seu servidor. Além disso, implemente medidas de segurança adicionais, como firewalls e monitorização de tráfego, para detectar atividades suspeitas.

Conclusão

A vulnerabilidade CVE-2026-118063 no plugin Advance Guest Post do WordPress representa um risco significativo para a segurança dos sites. É crucial que os administradores de sistemas e donos de lojas estejam atentos a atualizações e implementem as correções necessárias para proteger os seus ambientes.