Pie Register Premium: upload irrestrito de arquivo sem autenticação (CVE-2026-84999)
Uma vulnerabilidade, CVE-2026-84999 (CVSS 9.8), foi publicada para o plugin Pie Register Premium do WordPress. A função piereg_file_upload não verifica o resultado da validação do tipo de arquivo, e seu manipulador AJAX não tem nonce nem verificação de permissão.
Verificado no Shield: sim
Quem é afetado
Todas as versões do Pie Register Premium até a 3.8.4.0, inclusive, são afetadas. Um invasor sem autenticação pode enviar arquivos perigosos, como scripts PHP, o que pode levar à execução remota de código, já que o servidor retorna o caminho do arquivo enviado.
Como verificar
No painel do WordPress, abra a página Plugins e veja se o Pie Register Premium está instalado e qual é a versão. A versão 3.8.4.0 ou anterior é afetada.
Como corrigir
Uma versão corrigida ainda não é informada na fonte. Acompanhe os comunicados do fornecedor e atualize assim que uma correção for lançada. Até lá, considere desativar o plugin temporariamente.
O que o Shield verifica grátis
O Shield encontra o Pie Register Premium pelos endereços dos arquivos no código da página, lê a versão no readme.txt do plugin (a linha Stable tag) ou no ?ver= dos arquivos e compara com a versão corrigida 3.8.4.1. Se a sua versão for menor, o relatório mostra um achado com link para o CVE. Grátis, em toda verificação. Se o plugin não deixa rastros nas páginas, ele não aparece de fora: confira a versão no seu painel de administração.
Bom saber
A versão corrigida e qualquer exploração no mundo real ainda não foram divulgadas. Fonte: NVD (CVE-2026-84999).
