Forminator Forms: dowolny upload plików (CVE-2026-15748)
W wtyczce Forminator Forms dla WordPressa opublikowano podatność CVE-2026-15748 (CVSS 9.8). Funkcja handle_file_upload niewystarczająco waliduje typ pliku: czarną listę rozszerzeń można obejść kluczami MIME z symbolem „|”.
Sprawdzane w Shield: nie
Kogo dotyczy
Dotyczy wszystkich wersji Forminator Forms do 1.56.1 włącznie. Nieuwierzytelniony atakujący może wgrać potencjalnie wykonywalny plik, co umożliwia zdalne wykonanie kodu.
Jak sprawdzić u siebie
W panelu WordPressa otwórz „Wtyczki” i sprawdź wersję Forminator Forms. Jeśli to 1.56.1 lub niższa, witryna jest narażona.
Jak naprawić
Zaktualizuj wtyczkę do wersji nowszej niż 1.56.1, gdy tylko producent ją wyda. Źródło nie podaje poprawionej wersji. Do czasu poprawki rozważ tymczasową dezaktywację wtyczki.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Informacje o wykorzystaniu podatności i numerze poprawionej wersji nie zostały jeszcze ujawnione. Źródło: NVD (CVE-2026-15748).
