CVE-2026-104738

Nome do Software Vulnerável e Versões Afetadas Advanced Form Integration — Connect Forms to 300+ Apps versões anteriores a 2.10.3

Descrição Este problema envolve a Injeção de Objeto PHP causada pela desserialização de entradas não confiáveis. Atacantes não autenticados podem injetar um Objeto PHP, embora o impacto dependa da presença de uma POP chain (uma sequência de gadgets usada para executar código arbitrário) em outro plugin ou tema instalado. Se tal cadeia existir, poderá levar à exclusão de arquivos arbitrários, recuperação de dados sensíveis ou execução remota de código. A exploração requer que um administrador tenha configurado pelo menos uma integração NexForms ativa no banco de dados. No nível gratuito, apenas chaves de parâmetros POST contendo as substrings name, email, first ou last são processadas pelo normalizador vulnerável.

Recomendações Atualize para uma versão posterior à 2.10.2.