CVE-2026-56058: Plugin Quform para WordPress: upload arbitrário de arquivo por Subscriber

Visão geral

O registro descreve uma vulnerabilidade de upload arbitrário de arquivo no plugin Quform para WordPress, que afeta versões até a 2.23.0 inclusive. A fraqueza é classificada como CWE-434, upload irrestrito de arquivo de tipo perigoso. Segundo o registro, a falha é alcançável por usuário com perfil Subscriber.

Impacto

A CNA Patchstack atribuiu pontuação base CVSS 3.1 de 9.9 (crítica), com alto impacto em confidencialidade, integridade e disponibilidade e escopo alterado.
De forma geral, falhas de upload arbitrário podem permitir que um usuário autenticado de baixo privilégio grave arquivos em um servidor que a aplicação não deveria aceitar. O registro não detalha as consequências específicas neste caso.

Produtos e versões afetadas

Produto: Quform, plugin para WordPress, conforme a descrição do registro e a referência da Patchstack.
Versões: descritas como até a 2.23.0 inclusive.
O registro não contém intervalos estruturados de versões afetadas nem versões corrigidas.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro.
Não aparece, nas fontes consultadas, nenhuma exploração confirmada na natureza.

Correção e mitigação

Identifique se o Quform está instalado nos seus sites WordPress e qual versão está em uso.
Consulte o fornecedor e a referência da Patchstack em busca de uma versão atualizada. O registro não identifica versão corrigida, e a ausência dessa informação não significa que não exista correção.
Até que uma correção verificada seja aplicada, revise quais contas possuem perfil Subscriber e como o cadastro está configurado, e restrinja recursos de upload a perfis confiáveis.
Revise os diretórios de upload em busca de arquivos inesperados e mantenha backups atualizados.

Orientações de detecção

Analise os logs do servidor web e da aplicação em busca de requisições de upload incomuns vindas de contas de baixo privilégio.
Procure arquivos inesperados em diretórios de upload ou relacionados a plugins, especialmente de tipos executáveis ou de script.
Monitore a integridade dos arquivos na raiz do site.

Limitações das informações disponíveis

O registro não possui dados estruturados de versões afetadas ou corrigidas.
O status da fonte é Deferred, e o registro não contém dados SSVC nem dados ADP da CISA.
Os valores EPSS estão presentes, mas não indicam exploração por si só.
Detalhes técnicos do caminho de código vulnerável não constam no registro.

Perguntas frequentes

Esta vulnerabilidade do Quform está sendo explorada ativamente?

O catálogo KEV da CISA não lista esta CVE no registro, e não aparece nas fontes consultadas nenhuma exploração confirmada na natureza.

Quais versões do Quform são afetadas?

O registro descreve versões até a 2.23.0 inclusive. Não há intervalos estruturados de versões nem uma versão corrigida informada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.