Ninja Forms - File Uploads: usuwanie i odczyt plików (CVE-2026-126537)
Dla dodatku Ninja Forms - File Uploads do WordPressa opublikowano podatność z oceną CVSS 9.1. Nieuwierzytelniony atakujący może usuwać dowolne pliki na serwerze oraz odczytywać pliki przez wysyłkę do S3, Dropbox lub Google Drive.
Sprawdzane w Shield: nie
Kogo dotyczy
Strony WordPress z dodatkiem Ninja Forms - File Uploads w wersji 3.3.36 lub starszej. Przyczyna: file_path przesłany przez klienta nie jest sprawdzany pod kątem katalogu uploads. Usunięcie wp-config.php może prowadzić do RCE.
Jak sprawdzić u siebie
W panelu WordPress otwórz Wtyczki i znajdź Ninja Forms - File Uploads albo uruchom wp plugin list. Wersja 3.3.36 lub niższa jest podatna.
Jak naprawić
Źródło nie podaje poprawionej wersji. Śledź aktualizacje dodatku i zainstaluj poprawkę zaraz po wydaniu. Jeśli dodatek nie jest potrzebny, możesz go dezaktywować.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Poprawiona wersja i szczegóły ewentualnej eksploatacji nie zostały jeszcze ujawnione. Źródło: NVD, CVE-2026-126537.
