As vulnerabilidades do WPForms se concentram em quatro vetores: XSS armazenado, controle de acesso, CSRF e spam de formulário. Segundo o NVD/NIST (2026), a falha mais grave recente, a CVE-2026-40764, recebeu CVSS 8.1. As CVEs conhecidas já receberam patch. Atualize o plugin e proteja o formulário.

O WPForms é o construtor de formulários mais popular do WordPress, com mais de 6 milhões de instalações ativas, e essa escala o torna alvo recorrente de pesquisa de segurança. As vulnerabilidades do WPForms catalogadas hoje estão todas corrigidas, mas o risco não some: ele migra para a configuração do formulário e do servidor. Quem usa o plugin precisa separar o que é histórico (CVE já com patch) do que é exposição atual (campo de upload aberto, ausência de captcha). Este guia destrincha os quatro riscos reais, com CVEs verificáveis no NVD, e mostra como reduzir a superfície de ataque sem trocar de plugin. Para o panorama do cluster, consulte os conteúdos de vulnerabilidades WordPress da FULL.

Mapa de riscos: As vulnerabilidades do WPForms em uma tabela

As vulnerabilidades do WPForms se resumem a quatro classes de falha, e nenhuma delas representa risco atual sem patch hoje: as CVEs registradas já foram corrigidas. A mais severa recente foi a CVE-2026-40764, com nota CVSS 8.1, um XSS armazenado que afetava versões anteriores à 1.10.0.3. O WPForms soma 28 CVEs no histórico, todas com correção disponível.

A tabela abaixo cruza cada um dos quatro vetores com o CVE real correspondente, a versão afetada e a ação de mitigação prática, para você decidir onde agir primeiro. Esse volume de CVEs todas corrigidas sinaliza manutenção ativa e auditoria contínua da equipe do WPForms, não fragilidade do código.

Legenda: os quatro vetores das vulnerabilidades do WPForms organizados por CVE real e ação corretiva.

XSS armazenado: A cve-2026-40764 e por que ela importa

O vetor mais grave entre as vulnerabilidades do WPForms é o XSS armazenado, catalogado como CVE-2026-40764 com nota CVSS 8.1, corrigido na versão 1.10.0.3. A falha permitia injetar script persistente a partir de um campo do formulário.

No lado defensivo, o mecanismo das vulnerabilidades do WPForms é direto: um usuário sem privilégio submete um valor com payload, o plugin armazena o dado e o tema renderiza essa saída sem escapar, e o script roda quando o administrador abre a entrada no painel. WPForms 1.10.0.3 corrige a origem ao sanitizar a saída, mas só a sanitização correta no template fecha o vetor de vez. Para entender o mecanismo a fundo, vale ler o guia sobre cross-site scripting (XSS). Quem escreve sobre CVE aqui tem peso: a FULL é a única empresa brasileira credenciada como CNA (CVE Numbering Authority) sob a CISA desde maio de 2022.

Controle de acesso e CSRF: Quando a permissão do formulário falha

O segundo grupo de vulnerabilidades do WPForms envolve controle de acesso indevido e CSRF, com a CVE-2024-11205 (CVSS 6.5) corrigida na 1.9.2.1 e a CVE-2024-13403 (CVSS 6.4) corrigida na 1.9.3.2. Nesse tipo de falha, uma ação sem verificação adequada de permissão ou de nonce permite que um pedido forjado seja aceito.

O risco se materializa quando um endpoint do plugin confia no pedido sem checar a capability do usuário ou o token anti-CSRF. Um invasor induz o administrador logado a disparar uma ação que ele não pretendia, alterando configuração do formulário. A correção tem dois lados: manter a versão atual, que reforça a verificação de nonce, e revisar quem tem permissão de editar formulários. As vulnerabilidades do WPForms dessa classe tendem a aparecer em sites com muitos editores e papéis mal segmentados, segundo o que se vê nos tickets de suporte da FULL.

Spam e abuso: O risco sem CVE que mais aparece no suporte

O risco mais frequente entre as vulnerabilidades do WPForms não tem CVE: é o abuso de configuração, quando o formulário fica exposto sem nenhuma camada anti-spam. Segundo o Cloudflare Radar, nos últimos 28 dias no Brasil, 16,4% dos ataques de camada de aplicação foram mitigados por WAF (Cloudflare Radar, junho de 2026), o que mostra que parte relevante do abuso bate na borda antes do plugin.

Nesse cenário, a enxurrada de submissões enche o banco de dados, mascara tentativas reais de exploit e degrada a entrega de e-mail do site. Na prática, boa parte dos chamados de suporte sobre formulários começa aqui, não num CVE. A defesa em camadas funciona: o Akismet filtra conteúdo por reputação, o reCAPTCHA v3 bloqueia automações por score de comportamento, e o token anti-spam nativo do WPForms barra envios sem JavaScript. Quem precisa montar um formulário do zero com proteção pode seguir como criar um formulário de contato no WordPress.

Como reduzir a superfície de ataque do WPForms

Reduzir a exposição das vulnerabilidades do WPForms exige quatro camadas, e nenhuma delas é trocar de plugin: atualização em dia, hardening do formulário, firewall e anti-spam. O All in One Security e o Wordfence atuam como firewall de aplicação (WAF), bloqueando payloads conhecidos antes que cheguem ao plugin, e funcionam como uma camada de firewall WordPress na frente do formulário.

A camada de formulário é a mais negligenciada: desabilite o campo de upload se não usar, limite as extensões aceitas e mantenha o token anti-spam ativo. Por padrão, o WPForms ativa a proteção anti-spam moderna nos formulários novos, mas o reCAPTCHA precisa ser configurado manualmente nas chaves do plugin, conforme o material técnico oficial do WPForms detalha. Para a rotina completa de blindagem, siga o passo a passo de hardening de segurança no WordPress.

WPForms ou Contact Form 7: O trade-off de segurança

Entre a postura do WPForms e a do Contact Form 7, a diferença é arquitetural, não de gravidade: o WPForms compete por validação nativa e curva de aprendizado curta, enquanto o Contact Form 7 compete por gratuidade e simplicidade, transferindo a configuração de segurança ao administrador. Gravity Forms, por sua vez, compete por workflows avançados e governança.

O WPForms traz token anti-spam, integração de captcha guiada e validação de campo nativa, o que reduz a configuração manual. O histórico de CVEs ajuda a calibrar a leitura: o WPForms registra 28 CVEs catalogadas contra 12 do Contact Form 7, mas volume histórico com patch em dia mede auditoria, não fragilidade, e ambas as bases estão hoje corrigidas. A escolha depende de quem mantém o site. Para comparar a fundo, veja WPForms vs Contact Form 7 e o guia de plugins de segurança WordPress.

Garanta as ferramentas certas no plano da FULL

Mitigar as vulnerabilidades do WPForms fica mais barato quando os plugins de defesa vêm no mesmo lugar. A FULL distribui WPForms, All in One Security e UpdraftPlus no mesmo bundle: o plano PRO sai por R$849 por ano e cobre 10 sites, o que equivale a R$85 por site para ter formulário validado, firewall de aplicação e backup automático sem licenças avulsas espalhadas.

A gente vê no suporte que o custo de manter cada plugin de segurança separado é justamente o que mais trava a atualização em dia, e atraso de patch é o que reabre um CVE já corrigido. Centralizar tudo num plano só reduz a fricção de manter os 17 plugins na versão segura. Conheça os planos da FULL para ver o que entra no bundle e como o R$85 por site se compara às licenças avulsas. E para escanear o seu site agora, o FULL Scan aponta gratuitamente se algum plugin está em versão vulnerável.

Como monitorar novas vulnerabilidades do WPForms

Manter o plugin seguro não termina no último patch: exige acompanhar a publicação de novas CVEs antes que um exploit circule. O WPForms já soma 28 CVEs no histórico, todas corrigidas, e cada nova versão pode trazer correção silenciosa que o changelog nem sempre detalha em profundidade.

Na prática, o monitoramento das vulnerabilidades do WPForms tem três passos. Primeiro, confirme a versão instalada no painel do plugin e compare com a versão estável publicada no repositório oficial do WordPress. Segundo, ative a atualização automática para o WPForms, já que a janela entre a divulgação de uma CVE e a tentativa de exploração costuma ser curta. Terceiro, consulte periodicamente a base do NVD pelo nome do plugin, onde cada CVE traz ID, CVSS, versão afetada e versão de correção verificáveis. Para fechar o ciclo, rode uma auditoria completa de segurança no WordPress. Esse hábito separa o risco histórico, já resolvido por patch, da exposição atual, que depende de o site rodar a versão mais recente.

Perguntas frequentes sobre as vulnerabilidades do WPForms

Próximos passos para proteger seus formulários

As vulnerabilidades do WPForms são gerenciáveis: as falhas catalogadas estão corrigidas, e o risco real mora na configuração do formulário e do servidor. Priorize a atualização em dia, desabilite uploads que não usa, ative Akismet e reCAPTCHA e mantenha um firewall como o All in One Security na frente do plugin. Para continuar se aprofundando em segurança, o guia de segurança para WordPress da FULL reúne os materiais do tema em sequência, e a FULL Academy organiza tutoriais, guias e reviews em um só lugar.