CVE-2026-92820

Nome do Software Vulnerável e Versões Afetadas Ninja Forms - File Uploads versões anteriores a 3.3.35

Descrição Existe um problema no fluxo de upload externo (Amazon S3) onde o plugin confia em um caminho de arquivo fornecido pelo usuário durante o envio do formulário e o armazena como a variável file path. Esta variável é utilizada sem validação, permitindo que invasores não autenticados realizem operações arbitrárias de arquivos. Especificamente, isso pode levar à leitura arbitrária de arquivos quando uma ação de E-mail do formulário está configurada para anexar o arquivo enviado, gravação arbitrária de arquivos que pode resultar em execução remota de código quando o armazenamento externo está configurado, e exclusão arbitrária de arquivos por meio de limpeza agendada. A exploração requer que o site tenha a ação de Upload de Arquivo Externo (Amazon S3) habilitada.

Recomendações Atualize o Ninja Forms - File Uploads para a versão 3.3.35 ou posterior. Como mitigação temporária, desative a ação de Upload de Arquivo Externo (Amazon S3).