Ultimate Addons for Elementor Forms: upload de arquivos e RCE (CVE-2026-124814)
O plugin WordPress Ultimate Addons for Elementor Forms não valida corretamente a extensão dos arquivos em seu campo de upload incluído. Um usuário não autenticado pode enviar um script PHP e obter execução remota de código. Pontuação CVSS: 9.8.
Verificado no Shield: não
Quem é afetado
Sites WordPress com o Ultimate Addons for Elementor Forms em versão anterior à 1.0.8 que usem o campo de upload de arquivos incluído.
Como verificar
No painel do WordPress, abra Plugins e localize o Ultimate Addons for Elementor Forms. Se a versão for inferior a 1.0.8, o plugin está vulnerável. Vale também verificar a pasta uploads em busca de arquivos PHP inesperados.
Como corrigir
Há correção: atualize o plugin para a versão 1.0.8 ou superior. Se não puder atualizar agora, desative o plugin temporariamente.
O que o Shield verifica não é verificado
Verificado pelo Shield: não. Normalmente isso não aparece de fora ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
Ainda não foi divulgado se a falha está sendo explorada. Fonte: NVD.
