CVE-2025-11977

Nome do Software Vulnerável e Versões Afetadas Happyforms – Form Builder for WordPress versões anteriores a 1.26.13

Descrição O plugin está sujeito a Local File Inclusion, uma condição em que uma aplicação inclui arquivos do sistema de arquivos local sem a devida validação. Isso ocorre por meio da função happyforms get form partial(), permitindo que atacantes autenticados com nível de acesso de Administrador ou superior incluam e executem arquivos .php arbitrários no servidor. Isso pode levar à execução de código PHP arbitrário, contornando controles de acesso e resultando no roubo de dados sensíveis, particularmente se arquivos .php puderem ser carregados para o servidor.

Recomendações Atualize o plugin para uma versão posterior à 1.26.12. Como medida de mitigação temporária, restrinja o acesso à função happyforms get form partial().