Forminator Forms: carga arbitraria de archivos (CVE-2026-15748)
Se publicó una vulnerabilidad, CVE-2026-15748 (CVSS 9.8), en el plugin Forminator Forms para WordPress. La función handle_file_upload valida de forma insuficiente los tipos de archivo: la lista de extensiones bloqueadas se puede eludir con claves de tipo MIME alternativas separadas por barra vertical.
Revisado en Shield: sí
Quién está afectado
Están afectadas todas las versiones de Forminator Forms hasta la 1.56.1 incluida. Un atacante sin autenticación puede subir un archivo potencialmente ejecutable, lo que hace posible la ejecución remota de código.
Cómo comprobar
En el administrador de WordPress, abre Plugins y comprueba la versión de Forminator Forms. Si es la 1.56.1 o inferior, el sitio está expuesto.
Cómo corregirlo
Actualiza a una versión posterior a la 1.56.1 en cuanto el desarrollador la publique. La fuente no indica una versión corregida. Mientras no haya parche, considera desactivar el plugin temporalmente.
Qué comprueba Shield gratis, más a fondo en el análisis de pago
Sí, Shield lo comprueba desde fuera: la versión del plugin se lee de las URL de archivos en el código de la página (gratis) o de readme.txt (análisis de pago) y se compara con la base de datos de vulnerabilidades. Si la versión es anterior a la corregida, el informe muestra un hallazgo que enlaza a esta nota; si la versión no es visible, Shield te indica que la revises.
Conviene saber
Aún no se ha revelado si hay explotación ni el número de la versión corregida. Fuente: NVD (CVE-2026-15748).
