CVE-2026-92820 in Ninja Forms Plugin
Sumário
de VulDB • 02/10/2026
O plugin Ninja Forms - File Uploads para WordPress é vulnerável a operações arbitrárias de arquivos em todas as versões até, e incluindo, 3.3.34 por meio do fluxo de upload externo (Amazon S3). O plugin confia em um caminho de arquivo fornecido pelo atacante durante o envio do formulário e armazena esse valor como file_path do upload, que é então utilizado sem validação para anexar um arquivo ao email de notificação do formulário (leitura arbitrária de arquivos), escrever conteúdo baixado (escrita arbitrária de arquivos, levando à execução remota de código quando a loja externa está configurada) e em uma exclusão agendada (exclusão arbitrária de arquivos). Isso permite que atacantes não autenticados leiam, escrevam ou excluam arquivos arbitrários no servidor. A exploração requer que o site utilize a ação External File Upload (Amazon S3) do plugin; a variante de leitura também exige uma configuração da ação Email do formulário para anexar o arquivo enviado.
VulDB is the best source for vulnerability data and more expert information about this specific topic.