CVE-2026-0740: Ninja Forms File Uploads: upload irrestrito de arquivos
O plugin Ninja Forms - File Uploads para WordPress não valida o tipo dos arquivos enviados, o que permite que atacantes não autenticados enviem arquivos arbitrários. A Wordfence classifica a falha como crítica, com pontuação CVSS 3.1 de 9.8. Segundo o registro, as versões até a 3.3.26 inclusive são afetadas e a 3.3.27 é a correção completa.
Visão geral
A extensão Ninja Forms - File Uploads para WordPress não valida o tipo dos arquivos no seu manipulador de upload, conforme descrito no registro da NVD e na entrada da Wordfence. A fraqueza é classificada como CWE-434, upload irrestrito de arquivo de tipo perigoso.
Impacto
- Atacantes não autenticados podem enviar arquivos arbitrários para o servidor afetado.
- O registro informa que isso pode viabilizar a execução remota de código.
- A Wordfence atribui nota 9.8 (crítica) pelo CVSS 3.1, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica alto impacto na confidencialidade, integridade e disponibilidade.
Produtos e versões afetados
- Produto: plugin Ninja Forms - File Uploads para WordPress.
- Afetado: todas as versões até a 3.3.26 inclusive, segundo a descrição.
- As listas estruturadas de afetados e correções do registro estão vazias, por isso as informações de versão vêm do texto da descrição.
- A descrição informa que a falha foi parcialmente corrigida na 3.3.25 e totalmente corrigida na 3.3.27.
Status de exploração
Este CVE não consta, no registro, como listado no catálogo KEV da CISA. Não aparece exploração confirmada nas fontes consultadas. A pontuação EPSS é uma probabilidade estimada e não é evidência de exploração.
Correção e mitigação
- Atualize o plugin para a versão 3.3.27, que a descrição identifica como correção completa.
- Não considere a 3.3.25 como corrigida, pois a descrição diz que ela foi apenas parcialmente corrigida, e a 3.3.26 está dentro da faixa afetada.
- Consulte a página do Ninja Forms File Uploads para informações do fabricante.
- Até a atualização, restrinja o acesso às funções de upload quando operacionalmente possível e revise os diretórios de upload em busca de arquivos inesperados.
Orientações de detecção
- Revise os logs do servidor web e do WordPress em busca de requisições de upload inesperadas aos endpoints do Ninja Forms, especialmente de sessões não autenticadas.
- Procure arquivos criados recentemente com extensões executáveis ou de script nos diretórios de upload e do plugin.
- Compare os arquivos instalados do plugin com o conteúdo esperado para identificar inclusões não autorizadas.
Limitações das informações disponíveis
- O registro tem campos estruturados de afetados e correções vazios, por isso os limites de versão dependem da descrição.
- A página do fabricante não foi verificada quanto a detalhes de correção ou notas de versão nesta análise.
- O registro não permite determinar se algum site específico foi comprometido.
Perguntas frequentes
Quais versões do Ninja Forms File Uploads são afetadas pelo CVE-2026-0740?
Segundo a descrição do registro, todas as versões até a 3.3.26 inclusive são afetadas. A lista estruturada de afetados do registro está vazia, então essa informação vem do texto da descrição.
Para qual versão devo atualizar?
A descrição informa que a falha foi totalmente corrigida na versão 3.3.27. Ela também diz que a 3.3.25 foi apenas parcialmente corrigida.
Há exploração ativa conhecida desta vulnerabilidade?
Este CVE não consta como listado no catálogo KEV da CISA no registro, e não aparece exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.