Forminator Forms: загрузка произвольных файлов (CVE-2026-15748)
В плагине Forminator Forms для WordPress найдена уязвимость CVE-2026-15748 (CVSS 9.8). Функция handle_file_upload неверно проверяет тип файла: чёрный список расширений обходится через MIME-ключи с символом «|».
Проверяется в Shield: нет
Кого касается
Затронуты все версии Forminator Forms до 1.56.1 включительно. Неавторизованный атакующий может загрузить исполняемый файл, что делает возможным удалённое выполнение кода.
Как проверить у себя
В админ-панели WordPress откройте «Плагины» и посмотрите версию Forminator Forms. Если она 1.56.1 или ниже, сайт находится в зоне риска.
Как исправить
Обновите плагин до версии новее 1.56.1, как только вендор её выпустит. Информации об исправленной версии в источнике нет. Пока патча нет, рассмотрите временное отключение плагина.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данных об эксплуатации уязвимости и номере исправленной версии пока нет. Источник: NVD (CVE-2026-15748).
