CVE-2026-120522 - Vulnerabilidade Crítica no Cloud Storage Manager para Fluent Forms

Introdução

A vulnerabilidade CVE-2026-120522 afeta o plugin Cloud Storage Manager para Fluent Forms no WordPress, permitindo a escrita de ficheiros arbitrários. Esta falha é considerada crítica e pode ter consequências graves para os utilizadores do plugin.

O que aconteceu?

Foi identificado que o plugin Cloud Storage Manager para Fluent Forms possui falhas de verificação de autorização nos endpoints REST `connection/{driver}/save` e `/download/single-file`. Além disso, a função `downloadFile()` não valida adequadamente os caminhos, permitindo que atacantes não autenticados armazenem credenciais controladas por eles e desencadeiem downloads de ficheiros maliciosos.

Como funciona a vulnerabilidade

A vulnerabilidade resulta da falta de validação de caminho e de verificação de autorização, permitindo que um atacante escreva conteúdo fora do diretório pretendido. Quando um ficheiro com extensão PHP é escrito numa localização acessível na web, isso pode levar à execução remota de código, comprometendo a segurança do servidor.

Qual é o impacto real?

O impacto desta vulnerabilidade é significativo, pois pode permitir que um atacante execute código arbitrário no servidor, potencialmente comprometendo toda a instalação do WordPress. Os utilizadores do plugin estão em risco, especialmente se o ficheiro malicioso for executado.

Que versões são afetadas?

• Até 1.2.0

Como corrigir

1. Verifique a versão do plugin Cloud Storage Manager que está a utilizar.
2. Atualize o plugin para a versão mais recente assim que uma correção estiver disponível.
3. Considere desativar o plugin até que uma atualização segura seja lançada.
4. Monitore os canais oficiais do plugin para atualizações e correções de segurança.

Mitigação enquanto não atualizas

Enquanto não for possível atualizar, recomenda-se desativar o plugin para evitar qualquer exploração da vulnerabilidade. Além disso, é aconselhável rever as permissões de acesso aos ficheiros e diretórios do servidor para minimizar os riscos.

Conclusão

A vulnerabilidade CVE-2026-120522 representa um risco crítico para os utilizadores do Cloud Storage Manager para Fluent Forms. É essencial que os administradores de sistemas tomem medidas imediatas para proteger as suas instalações.