Adicionar Campos Personalizados à Mídia <= 2.0.3 - Cross-Site Request Forgery para Exclusão de Campo Personalizado via Parâmetro 'delete'

A exploração bem-sucedida desta vulnerabilidade XSRF permite que um atacante, sem a necessidade de autenticação, execute ações em nome de um usuário autenticado no WordPress. No contexto do plugin Add Custom Fields to Media, isso significa que um atacante pode remover campos de mídia personalizados configurados por administradores ou outros usuários com permissões adequadas. A perda desses campos pode interromper o funcionamento de sites que dependem dessas customizações para gerenciar e exibir conteúdo de mídia. Embora a remoção de campos em si possa não parecer crítica, a vulnerabilidade demonstra uma falha fundamental na validação de entrada, o que pode abrir portas para outras explorações mais graves no futuro, como a modificação de configurações do plugin ou até mesmo a execução de código malicioso.

1. Reservado2026-03-12
2. Publicada2026-03-19
3. Modificada2026-04-08
4. EPSS atualizado2026-03-26

A mitigação primária para esta vulnerabilidade é atualizar o plugin Add Custom Fields to Media para a versão 2.0.4 ou superior, que corrige a falha de validação de nonce. Se a atualização imediata não for possível, considere implementar medidas de proteção adicionais, como a utilização de um Web Application Firewall (WAF) configurado para bloquear requisições XSRF. Além disso, revise as permissões de usuário no WordPress para garantir que apenas usuários autorizados tenham acesso à funcionalidade de gerenciamento de campos de mídia. Monitore os logs do WordPress em busca de atividades suspeitas, como requisições de exclusão de campos de mídia originadas de fontes desconhecidas.

Instalações ativas

90

Avaliação do plugin