PT-2026-36981 · WordPress · Forminator Forms

Daroo · Publicado 2026-05-05 · Atualizado 2026-05-05 · CVE-2026-5192

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Forminator Forms – Contact Form, Payment Form & Custom Form Builder versões anteriores a 1.52.2

Descrição Um problema de Path Traversal existe no plugin Forminator Forms para WordPress. Atacantes não autenticados podem ler arquivos arbitrários no servidor, potencialmente expondo informações sensíveis, ao manipular o parâmetro upload-1[file][file path]. Esta exploração é possível se um formulário publicamente acessível possuir um campo de Upload de Arquivo com o recurso Save and Continue ativado nas configurações de Comportamento, e a notificação de e-mail correspondente estiver configurada para anexar arquivos enviados.

Recomendações Atualize o plugin para uma versão posterior a 1.52.1. Como medida de mitigação temporária, desative o recurso Save and Continue nas configurações de Comportamento de formulários que contenham campos de Upload de Arquivo ou desative o anexo de arquivos enviados nas Notificações de E-mail.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-5192

Produtos afetados

Forminator Forms

Referências · 6

• https://wordfence.com/threat-intel/vulnerabilities/id/788422c4-e070-48aa-a85d-a5d5a25a6a1d?source=cve · Nota
• https://twitter.com/CVEnew/status/2051595418149237044 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-5192 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset/3500671/forminator · Nota
• https://t.me/CVEtracker/52721 · Publicação no Telegram
• https://twitter.com/infoflowcloud/status/2051596886289637842 · Publicação no Twitter