CVE-2025-6464

Nome do Software Vulnerável e Versões Afetadas: O plugin Forminator Forms – Contact Form, Payment Form & Custom Form Builder para WordPress, versões até e incluindo a 1.44.2

Descrição: O problema está relacionado à Injeção de Objeto PHP via desserialização de entrada não confiável na função entry delete upload files. Isso permite que atacantes não autenticados injetem um Objeto PHP através de um arquivo PHAR. No entanto, a vulnerabilidade não tem impacto a menos que outro plugin ou tema contendo uma cadeia POP esteja instalado no site. Se uma cadeia POP estiver presente, isso pode permitir que o atacante realize ações como excluir arquivos arbitrários, recuperar dados sensíveis ou executar código, dependendo da cadeia POP presente. A desserialização ocorre quando o envio do formulário é excluído, seja por um Administrador ou via exclusão automática determinada pelas configurações do plugin.

Recomendações: Para versões até e incluindo a 1.44.2, atualize para uma versão que corrija o problema de Injeção de Objeto PHP. Como solução temporária, considere desativar a função entry delete upload files até que uma correção esteja disponível. Restrinja o acesso ao recurso de exclusão de envio de formulário do plugin para minimizar o risco de exploração.