CVE-2026-97332
User Private Files < 2.2.0 - Divulgación de archivos privados sin autenticación mediante omisión de la regla de reescritura de .htaccess (Multisite)
- Publicado
- 4 oct 2026
- Actualizado
- 9 oct 2026
- Asignación de CNA
- WPScan
- Evidencia observada
- 4 nov 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:NBajo · próximos 30 días
- Percentil
- 17,7 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El plugin de WordPress User Private Files anterior a la versión 2.2.0 no protege adecuadamente sus archivos privados almacenados en instalaciones multisitio, donde la regla de reescritura en la que se basa para enrutar las solicitudes de archivos a través de su comprobación de acceso nunca se alcanza, lo que permite a usuarios no autenticados recuperar directamente los archivos privados de otros usuarios.
Fuentes
PoC independiente y laboratorio reproducible para CVE-2026-97332 — divulgación no autenticada de archivos privados en User Private Files < 2.2.0 en WordPress Multisite.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.