O plugin Biblioteca de links para WordPress é vulnerável à exclusão arbitrária de arquivos devido à insuficiente validação do caminho de arquivo na função ll_delete_link_fields em todas as versões até, incluindo, 7.9.4 Isto torna possível que os atacantes não autenticados excluam arquivos arbitrários no servidor, o que pode facilmente levar à execução de código remoto quando o arquivo certo é excluído (como wp-config.php). A exploração requer que o administrador tenha ativado a opção 'Eliminar arquivo local na exclusão do link' (desativado por padrão) e, posteriormente, exclua permanentemente o link enviado pelo atacante, que é uma ação de moderação de rotina. Registro de aconselhamento: GHSA- wm 9 p-. 2 xmp- 4 mp 2. Identificadores relacionados: CVE- 2026 - 18855.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 15 T 21: 30: 58.000 Z e lista a sua última modificação como 2026 - 08 - 15 T 21: 30: 58.000 Z. Gravidade: Crítico. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 22. O registro contém 10 suporte de referências nestes tipos: AVISO, WEB.