Ultimate Addons for Elementor Forms: загрузка файлов и RCE (CVE-2026-124814)
В WordPress-плагине Ultimate Addons for Elementor Forms поле загрузки файлов неправильно проверяет расширение. Неавторизованный пользователь может загрузить PHP-скрипт и выполнить код на сервере. Оценка CVSS: 9.8.
Проверяется в Shield: нет
Кого касается
Сайты на WordPress с плагином Ultimate Addons for Elementor Forms версии ниже 1.0.8, где используется встроенное поле загрузки файлов.
Как проверить у себя
В админ-панели WordPress откройте раздел «Плагины» и найдите Ultimate Addons for Elementor Forms. Если версия ниже 1.0.8, плагин уязвим. Также стоит проверить папку загрузок на неожиданные PHP-файлы.
Как исправить
Исправление есть: обновите плагин до версии 1.0.8 или новее. Если обновить сразу нельзя, временно отключите плагин.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данных об использовании уязвимости в атаках в источнике (NVD) нет, подробности эксплуатации не раскрыты.
