CVE-2026-0926
Prodigy Commerce <= 3.3.0 - Inclusão de Arquivo Local Não Autenticada via parameters[template_name]
- Publicado
- 19 de fev. de 2026
- Atualizado
- 8 de abr. de 2026
- Atribuindo CNA
- Wordfence
- Evidência observada
- 29 de mai. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBaixo · próximos 30 dias
- Percentil
- 95,4%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
O plugin Prodigy Commerce para WordPress é vulnerável a Inclusão Local de Arquivos em todas as versões até, e incluindo, a 3.3.0, por meio do parâmetro 'parameters[template_name]'. Isso possibilita que atacantes não autenticados incluam e leiam arquivos arbitrários ou executem arquivos arbitrários no servidor, permitindo a execução de qualquer código PHP nesses arquivos. Isso pode ser usado para contornar controles de acesso, obter dados confidenciais ou alcançar a execução de código em casos em que imagens e outros tipos de arquivos “seguros” possam ser carregados e incluídos.
Fontes
http/cves/2026/CVE-2026-0926.yaml
Nuclei TemplatesCondições declaradas
- network: http($.protocol_keys)
- verification: regex,status($.matchers[*].type)
- CVE-2026-0926-exploitExploit
Exploit para CVE-2026-0926 visando Inclusão de Arquivo Local no plugin Prodigy Commerce para WordPress. Permite ler arquivos arbitrários em servidores vulneráveis.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.