Durante a análise, foi identificado que os atacantes autenticados com acesso de nível de assinante ou superior são capazes de executar um ataque de Referência Direta de Objetos Inseguros (IDOR). Esta vulnerabilidade existe porque o plugin do Gerenciador de Arquivos Frontend Plugin WordPress através 23.6 não valida corretamente a autorização do usuário para o arquivo solicitado ao processar pedidos de download. Modificando o valor do parâmetro 'file_id' no endpoint de download (por exemplo, 40 &nm_file_nonce=a 36 fb 893 f 1 ), um atacante pode acessar arquivos pertencentes a outros usuários, incluindo usuários privilegiados, como administradores. Isto permite o acesso/ leitura não autorizado a dados sensíveis armazenados no aplicativo. O registro de base de dados de vulnerabilidade nacional CVE- 2026 - 5337 foi publicado em 2026 - 05 - 03 T 07: 16: 24.687 Z e última modificação em 2026 - 06 - 17 T 10: 58: 50.960 Z. O estado registrado é Diferido.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 6.5, gravidade MEDIUM, vetor CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N, pontuação de exploração 2.8, pontuação de impacto 3.6; CVSS. Classificações de fraqueza associadas: CWE- 639.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.