CVE-2026-126537

Nome do Software Vulnerável e Versões Afetadas Ninja Forms - File Uploads versões anteriores a 3.3.37

Descrição O complemento Ninja Forms - File Uploads para WordPress permite que invasores não autenticados excluam arquivos arbitrários no servidor ou realizem a leitura de arquivos arbitrários via exfiltração para S3, Dropbox ou Google Drive. O problema reside na função NF FU Fields Upload::process() em includes/fields/upload.php e na função NF FU External Abstracts Service::process upload() em includes/external/abstracts/service.php. Ao omitir a variável upload id, um invasor pode fazer com que a variável data[file path] persista na fila de Upload em Segundo Plano. Esse valor é posteriormente utilizado pela função upload file to s3() como SourceFile e pela chamada unlink() da função maybe delete server file() em includes/external/abstracts/backgroundupload.php, sem a devida canonicalização ou verificações de contenção de diretório. A exclusão de arquivos críticos, como o wp-config.php, pode forçar a aplicação a entrar na tela de configuração, permitindo potencialmente a tomada total do controle do site e a execução remota de código.

Recomendações Atualize o Ninja Forms - File Uploads para a versão 3.3.37 ou posterior. Como medida paliativa temporária, restrinja o acesso às funções NF FU Fields Upload::process() e NF FU External Abstracts Service::process upload().