Ninja Forms - File Uploads: exclusão e leitura de arquivos (CVE-2026-126537)
Foi publicada uma vulnerabilidade com pontuação CVSS 9.1 no complemento Ninja Forms - File Uploads para WordPress. Um atacante não autenticado pode excluir arquivos arbitrários no servidor e ler arquivos por meio do envio para S3, Dropbox ou Google Drive.
Verificado no Shield: não
Quem é afetado
Sites WordPress com Ninja Forms - File Uploads na versão 3.3.36 ou anterior. A causa é que o file_path enviado pelo cliente não é verificado em relação ao diretório de uploads. Excluir o wp-config.php pode levar a RCE.
Como verificar
No painel do WordPress abra Plugins e localize Ninja Forms - File Uploads, ou execute wp plugin list. A versão 3.3.36 ou inferior é afetada.
Como corrigir
A fonte não informa uma versão corrigida. Acompanhe as atualizações do complemento e instale a correção assim que for lançada. Se você não precisa do complemento, pode desativá-lo.
O que o Shield verifica não é verificado
Verificado pelo Shield: não. Normalmente isso não aparece de fora ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
A versão corrigida e os detalhes de uma possível exploração ainda não foram divulgados. Fonte: NVD, CVE-2026-126537.
