Alerta de Vulnerabilidade - Plugin Forminator Forms (WordPress)

Vulnerabilidade de upload de ficheiros sem restrições (CWE-434) no plugin Forminator Forms para WordPress, com o identificador CVE-2026-15748/EUVD-2026-60569 [1][2][3]. 

A vulnerabilidade reside na função handle_file_upload() e resulta da combinação de dois problemas: a lista de tipos de ficheiro proibidos pode ser contornada através de chaves MIME alternativas não reconhecidas pelo filtro; e o handler de submissão aceita configurações de carregamento controladas pelo atacante, injetadas através de um campo Select adulterado [1][3]. A exploração requer um formulário publicado com os campos File Upload e Select em simultâneo [3].

São afetadas todas as versões do Forminator Forms até à 1.56.1 inclusive. A correção está disponível na versão 1.56.2 [1][3].

A exploração é remota e não requer autenticação nem interação do utilizador. Um atacante pode fazer o upload de um ficheiro PHP executável contornando a validação do plugin. Na configuração predefinida, o diretório de carregamento contém um ficheiro .htaccess que bloqueia a execução de PHP; se estiver configurado um diretório personalizado (Custom File Upload Storage), essa proteção pode estar ausente, tornando a execução de código remoto diretamente possível [3].

A exploração bem-sucedida pode resultar na instalação de uma webshell, acesso à base de dados, criação de contas de administrador e comprometimento total do website WordPress e do ambiente de alojamento subjacente [3]. 

Recomenda-se a atualização imediata para a versão 1.56.2 ou posterior do plugin Forminator Forms [1].

Medidas adicionais recomendadas:

• Verificar se existe algum formulário publicado com os campos File Upload e Select em simultâneo e tratá-lo como vetor de exploração prioritário [3];
• Confirmar que o diretório de carregamento do plugin contém um ficheiro .htaccess a bloquear a execução de PHP; se for um diretório personalizado, verificar e adicionar essa proteção [3];
• Analisar os diretórios de carregamento do Forminator para identificar ficheiros .php, .phtml ou outros ficheiros executáveis não autorizados [3];
• A atualização impede explorações futuras mas não remove ficheiros já carregados; rever os logs do servidor para identificar submissões suspeitas anteriores à atualização [3].

[1] - https://nvd.nist.gov/vuln/detail/CVE-2026-15748
[2] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-15748
[3] - https://www.wordfence.com/threat-intel/vulnerabilities/id/263ac05d-f1ca-46e3-a43e-3b45eb8066d4?source=cve