Ultimate Addons for Elementor Forms: upload plików i RCE (CVE-2026-124814)
We wtyczce WordPress Ultimate Addons for Elementor Forms wbudowane pole przesyłania plików nie sprawdza poprawnie rozszerzeń. Niezalogowany użytkownik może wgrać skrypt PHP i uzyskać zdalne wykonanie kodu. Ocena CVSS: 9.8.
Sprawdzane w Shield: nie
Kogo dotyczy
Strony WordPress z wtyczką Ultimate Addons for Elementor Forms w wersji poniżej 1.0.8, które korzystają z wbudowanego pola przesyłania plików.
Jak sprawdzić u siebie
W panelu WordPress otwórz Wtyczki i znajdź Ultimate Addons for Elementor Forms. Jeśli wersja jest niższa niż 1.0.8, wtyczka jest podatna. Warto też sprawdzić folder uploads pod kątem nieoczekiwanych plików PHP.
Jak naprawić
Poprawka jest dostępna: zaktualizuj wtyczkę do wersji 1.0.8 lub nowszej. Jeśli nie możesz zaktualizować od razu, tymczasowo dezaktywuj wtyczkę.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Informacje o wykorzystaniu luki w atakach nie zostały jeszcze ujawnione. Źródło: NVD.
