CVE-2026-97332
User Private Files < 2.2.0 - Divulgação Não Autenticada de Arquivos Privados via Bypass de Regra de Reescrita .htaccess (Multisite)
- Publicado
- 4 de out. de 2026
- Atualizado
- 9 de out. de 2026
- Atribuindo CNA
- WPScan
- Evidência observada
- 4 de nov. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:NBaixo · próximos 30 dias
- Percentil
- 17,7%
- Data do modelo
- 4 de nov. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
O plugin WordPress User Private Files anterior à versão 2.2.0 não protege adequadamente seus arquivos privados armazenados em instalações multisite, onde a regra de reescrita da qual ele depende para encaminhar as solicitações de arquivos por meio de sua verificação de acesso nunca é alcançada, permitindo que usuários não autenticados recuperem diretamente os arquivos privados de outros usuários.
Fontes
PoC independente e laboratório reproduzível para CVE-2026-97332 — divulgação não autenticada de arquivos privados no User Private Files < 2.2.0 em WordPress Multisite.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.