Forminator Forms: upload de arquivo arbitrário (CVE-2026-15748)
Foi publicada a vulnerabilidade CVE-2026-15748 (CVSS 9,8) no plugin Forminator Forms para WordPress. A função handle_file_upload valida os tipos de arquivo de forma insuficiente: a lista de extensões bloqueadas pode ser contornada com chaves de tipo MIME com alternativas separadas por pipe.
Verificado no Shield: sim
Quem é afetado
Todas as versões do Forminator Forms até a 1.56.1, inclusive, são afetadas. Um invasor sem autenticação pode enviar um arquivo potencialmente executável, o que torna possível a execução remota de código.
Como verificar
No painel do WordPress, abra Plugins e veja a versão do Forminator Forms. Se for 1.56.1 ou anterior, o site está exposto.
Como corrigir
Atualize para uma versão posterior à 1.56.1 assim que o fornecedor a lançar. A fonte não informa a versão corrigida. Enquanto não houver patch, considere desativar o plugin temporariamente.
O que o Shield verifica grátis, mais a fundo na verificação paga
Sim, o Shield verifica isso por fora: a versão do plugin é lida a partir das URLs de arquivos no código da página (grátis) ou do readme.txt (verificação paga) e comparada com o banco de vulnerabilidades. Se a versão for anterior à corrigida, o relatório mostra um achado com link para esta nota; se a versão não estiver visível, o Shield pede que você verifique.
Bom saber
O status de exploração e o número da versão corrigida ainda não foram divulgados. Fonte: NVD (CVE-2026-15748).
