CVE-2026-5581

Nome do Software Vulnerável e Versões Afetadas Multi Uploader for Gravity Forms versões anteriores a 1.1.9

Descrição Atacantes não autenticados podem excluir permanentemente qualquer anexo de mídia do WordPress fornecendo seu ID de anexo. Este problema ocorre porque a função plupload ajax delete file(), registrada via wp ajax nopriv gfmu delete file, carece de verificações de capacidade necessárias. Além disso, o nonce utilizado para proteção contra Cross-Site Request Forgery (CSRF)—um token de segurança usado para evitar que comandos não autorizados sejam transmitidos a partir de um usuário em quem a aplicação web confia—está exposto em páginas públicas que contenham um campo de formulário de upload múltiplo através do objeto JavaScript GFMU options.

Recomendações Atualize o Multi Uploader for Gravity Forms para uma versão posterior à 1.1.8.