Uma vulnerabilidade de grande alcance foi descoberta no plugin SureForms, popular construtor de formulários por arrastar e soltar para WordPress, instalado em cerca de 200 000 sites. A falha, registrada como CVE‑2025‑6691, permite que invasores não autenticados excluam qualquer arquivo no servidor, colocando em risco arquivos críticos como wp-config.php
Como a vulnerabilidade funciona
O problema está na função delete_entry_files() — responsável por remover arquivos associados a registros de formulários. Ela não verifica se o caminho é seguro, o que permite que um atacante utilize nomes de arquivo manipulados em submissões maliciosas para apagar arquivos arbitrários fora da pasta de uploads. Esse tipo de ataque pode causar derrubada do site ou permitir controle total através da exclusão de arquivos essenciais
Avaliação técnica da falha
A falha recebeu nota 8,1 (alta) na escala CVSS v3.1, permitindo exclusão remota de arquivos sem autenticação. Ou seja, qualquer usuário pode explorar essa falha ao acessar uma página com formulário vulnerável, sem necessidade de login
Potenciais impactos
- Desconfiguração completa do site: a exclusão do arquivo wp-config.php reinicia o WordPress, reduzindo-o a um estado inicial e vulnerável.
- Execução de código malicioso: após reinicialização, o invasor pode reconfigurar o site com controles criados por ele.
- Perda de dados: remoção de arquivos essenciais ou ativos de mídia pode comprometer operações e conteúdo do site.
- Risco para formulários: sites que aceitam formulários — contato, inscrições, pagamentos — estão diretamente expostos.
Cronologia e correção
- A falha foi reportada a desenvolvedores e divulgada em junho de 2025.
- A versão 1.7.4 do plugin foi lançada para você corrigir a validação de caminho e limitar exclusão apenas a arquivos válidos na pasta de uploads
Situação atual
Apesar da disponibilidade da correção, ainda existem evidências de que muitos sites (provavelmente dezenas de milhares) continuam vulneráveis, seja por desatualização ou falta de monitoramento. A exploração é trivial — basta enviar um formulário customizado — o que requer atenção imediata por parte dos administradores.
Recomendações práticas
- Atualize o plugin: a versão 1.7.4 ou posterior deve ser aplicada imediatamente.
- Desative temporariamente o plugin até verificar a atualização, se o site não localiza automaticamente.
- Revise permissões de arquivo e diretórios, assegurando que apenas a pasta de uploads possa ser acessada pelos usuários.
- Monitore logs de acesso e erros buscando chamadas suspeitas à função de exclusão de arquivos.
- Implemente um WAF (Web Application Firewall) para barrar tentativas de exploração por requisições maliciosas.
Considerações finais
A falha no SureForms evidencia como os plugins podem comprometer a segurança de um site sem aparentar risco imediato. Uma única função vulnerável — se mal protegida — pode derrubar todo um ambiente WordPress.
A resposta ideal envolve atualização imediata, controle contínuo de arquivos, revisões de segurança periódicas e uso de mecanismos defensivos. A prevenção é simples, mas eficaz: mantenha seus plugins atualizados, monitore seu ambiente e use ferramentas de proteção para minimizar danos.