ARForms · plugin de formulários
Afeta: sites com a versão paga do ARForms
Um visitante sem login pode enviar, por um formulário com campo de arquivo, um arquivo que executa comandos no servidor e assim tomar o site. Também consegue deixar um código escondido nas respostas que roda quando o administrador as abre.
Você mesmo
- Atualizar para a 7.3 ou mais recente e confirmar com o suporte do ARForms se ela corrige as falhas.
- Enquanto não houver correção confirmada, tirar do ar ou remover o campo de envio de arquivo dos formulários públicos, ou desativar o plugin.
- Conferir em Usuários se há administradores desconhecidos.
Seu dev ou hospedagem
- Bloquear no WAF requisições ao envio de arquivos do ARForms com cabeçalho X-FILENAME terminando em .php ou similares.
- Impedir a execução de PHP em wp-content/uploads (incluindo as pastas do ARForms).
- Procurar arquivos .php recentes em wp-content/uploads.
- Revisar entradas de formulário com HTML/JavaScript nos campos page_url e http_referrer.
Detalhes técnicos: O ARForms (versão paga, até a 7.2.4) tem três falhas exploráveis sem login divulgadas pela Wordfence em 11/11. A mais séria (CVE-2026-111190, CVSS 8.1) está no envio de arquivos dos formulários: o nome do arquivo salvo vem de um cabeçalho da requisição (X-FILENAME) e as checagens de tipo podem ser contornadas, permitindo gravar arquivos PHP numa pasta pública e executar código; exige um formulário publicado com campo de arquivo. As outras duas (CVE-2026-12424 e CVE-2026-12427, CVSS 7.2) permitem gravar código pelo cabeçalho Referer e pelo parâmetro description, que roda quando o administrador abre a entrada. Não há exploração confirmada; o changelog da 7.3 (07/11) não menciona correções de segurança.
Dados técnicos
CVE-2026-111190 · CVE-2026-12424 · CVE-2026-12427 · CVSS 8,1 · Fonte: Wordfence