CVE-2026-15983

Nome do Software Vulnerável e Versões Afetadas Super Forms – Drag & Drop Form Builder versões anteriores a 6.3.317

Descrição Usuários autenticados com nível de acesso Assinante (Subscriber) ou superior podem excluir recursivamente arquivos e diretórios arbitrários no servidor, levando potencialmente à queda total do site ou execução remota de código. O problema ocorre porque o manipulador AJAX super save form não realiza verificações de capacidade, permitindo que usuários habilitem a configuração file upload submission delete. Subsequentemente, a função submit form() dentro do manipulador super submit form passa a variável files[].subdir do array $ POST['data'] diretamente para a função SUPER Common::delete dir() sem a sanitização adequada. Uma proteção ABSPATH falha é contornada quando a variável subdir é definida como wp-config.php, pois a comparação de strings não considera a divergência de barras finais.

Recomendações Atualize o Super Forms – Drag & Drop Form Builder para a versão 6.3.317 ou posterior.