CVE-2026-9843

Nome do Software Vulnerável e Versões Afetadas Database for Contact Form 7, WPforms, Elementor forms plugin for WordPress versões anteriores a 1.5.2

Descrição Este problema permite que invasores não autenticados excluam arquivos arbitrários no servidor devido à validação insuficiente do caminho do arquivo na função view page(). A exploração ocorre quando um administrador visualiza ou edita uma entrada de formulário manipulada; nesse momento, o analisador de colchetes do PHP remodela uma chave JSON criada pelo invasor para ignorar a verificação isset do caminho armazenado, acionando a exclusão de um arquivo especificado via traversal de caminho. A exclusão de arquivos críticos, como wp-config.php, pode levar à execução remota de código. Existem relatos de aumento nas atividades de agentes mal-intencionados visando este plugin.

Recomendações Atualize o plugin para uma versão posterior à 1.5.1. Como medida paliativa temporária, restrinja o acesso do administrador à visualização ou edição de entradas de formulário de fontes não confiáveis até que a atualização seja aplicada.