Resumo: O MetForm, construtor de formulários para Elementor com centenas de milhares de instalações, grava um arquivo de depuração na raiz do site a cada envio de formulário quando a integração com HubSpot Forms está ativa. Em versões anteriores à 4.3.1, esse arquivo fica acessível a qualquer visitante, expondo respostas da API do HubSpot, incluindo identificadores de correlação e cookies. A falha só afeta quem usa a integração com HubSpot, mas pode vazar dados que facilitam outros ataques.
Fonte: TheHackerWire / WPScan
O que fazer: Atualize o MetForm para a versão 4.3.1 ou superior. Depois, acesse a raiz do site (pasta onde fica o wp-config.php) via FTP ou gerenciador de arquivos e apague arquivos de log/depuração criados pelo plugin que tenham sobrado. Se usa a integração com HubSpot, gere uma nova chave/token de acesso no HubSpot por precaução.