Ninja Forms - File Uploads: удаление и чтение файлов (CVE-2026-126537)
В WordPress-дополнении Ninja Forms - File Uploads найдена уязвимость с оценкой CVSS 9.1. Неавторизованный атакующий может удалять произвольные файлы на сервере, а также читать файлы через выгрузку в S3, Dropbox или Google Drive.
Проверяется в Shield: нет
Кого касается
Сайты на WordPress с дополнением Ninja Forms - File Uploads версии 3.3.36 и ниже. Причина: переданный клиентом file_path не проверяется на принадлежность каталогу загрузок. Удаление wp-config.php может привести к RCE.
Как проверить у себя
В админке WordPress откройте раздел «Плагины» и найдите Ninja Forms - File Uploads. Либо выполните команду wp plugin list. Версия 3.3.36 или ниже попадает под уязвимость.
Как исправить
Исправленная версия в источнике не указана. Следите за обновлениями дополнения и установите патч сразу после выхода. Если дополнение не нужно, его можно отключить.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Исправленная версия и факты эксплуатации пока не раскрыты. Источник: NVD, CVE-2026-126537.
