AskAny: upload de arquivos PHP sem autenticação (CVE-2026-121497)
Foi publicada a vulnerabilidade CVE-2026-121497 (CVSS 9.8) no plugin AskAny para WordPress. O plugin não valida a extensão nem o conteúdo dos arquivos anexados às mensagens do chat e confia no tipo de arquivo informado pelo navegador.
Verificado no Shield: não
Quem é afetado
Sites com AskAny em versões anteriores à 2.2.0 e com anexos de visitantes ativados. Não é preciso fazer login: qualquer visitante pode enviar um arquivo PHP e executar código arbitrário.
Como verificar
No painel do WordPress, abra Plugins e confira a versão do AskAny. Depois verifique nas configurações do plugin se os anexos de visitantes estão ativados. Também vale procurar arquivos PHP inesperados no diretório de uploads.
Como corrigir
Há uma correção disponível: atualize o AskAny para a versão 2.2.0 ou posterior. Se não puder atualizar agora, desative os anexos de visitantes nas configurações do plugin.
O que o Shield verifica não é verificado
Verificado pelo Shield: não. Normalmente isso não aparece de fora ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
Ainda não foi divulgado se a falha é explorada em ataques reais. Fonte: registro do NVD para CVE-2026-121497.
