Ultimate Addons for Elementor Forms: carga de archivos y RCE (CVE-2026-124814)
El plugin de WordPress Ultimate Addons for Elementor Forms no valida correctamente la extensión de los archivos en su campo de carga incluido. Un usuario no autenticado puede subir un script PHP y lograr ejecución remota de código. Puntuación CVSS: 9.8.
Revisado en Shield: no
Quién está afectado
Sitios WordPress con Ultimate Addons for Elementor Forms en una versión anterior a 1.0.8 que usen el campo de carga de archivos incluido.
Cómo comprobar
En el administrador de WordPress abre Plugins y busca Ultimate Addons for Elementor Forms. Si la versión es inferior a 1.0.8, es vulnerable. También conviene revisar la carpeta de uploads en busca de archivos PHP inesperados.
Cómo corregirlo
Hay un parche: actualiza el plugin a la versión 1.0.8 o posterior. Si no puedes actualizar de inmediato, desactiva el plugin temporalmente.
Qué comprueba Shield no se comprueba
Comprobado por Shield: no. Normalmente esto no se ve desde fuera o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
Aún no se ha divulgado si la vulnerabilidad se explota activamente. Fuente: NVD.
