CVE-2026-118045: fallo de gravedad alta en Ever Accounting
Ever Accounting < 2.3.3 - Accounting Manager+ Arbitrary File Deletion via CSV Import
Publicada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
41Vexday Risk Score
Sin señal de explotación. Ella tiene prueba de concepto pública.
ssvc Attendcvss 8.7epss 0.3%
The Ever Accounting WordPress plugin before 2.3.3 does not restrict the file path supplied to its CSV import routine to an allowed directory, allowing users with its custom Accounting Manager role (which does not have administrator privileges) to delete arbitrary files on the server, such as wp-config.php, which takes the entire site offline.
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:H/A:H
Productos afectados
Unknown · Ever AccountingPoCs públicas encontradas — 1
cve_referencewpscan.com/vulnerability/9386275d-21c6-4711-b6d2-da307a0679f6/no verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.