Forminator Forms: завантаження довільних файлів (CVE-2026-15748)
У плагіні Forminator Forms для WordPress виявлено вразливість CVE-2026-15748 (CVSS 9.8). Функція handle_file_upload неправильно перевіряє тип файлу: чорний список розширень обходиться через MIME-ключі із символом «|».
Перевіряється в Shield: ні
Кого стосується
Уразливі всі версії Forminator Forms до 1.56.1 включно. Неавтентифікований атакувальник може завантажити виконуваний файл, що уможливлює віддалене виконання коду.
Як перевірити в себе
В адмінпанелі WordPress відкрийте «Плагіни» й перегляньте версію Forminator Forms. Якщо вона 1.56.1 або нижча, сайт у зоні ризику.
Як виправити
Оновіть плагін до версії новішої за 1.56.1, щойно вендор її випустить. Інформації про виправлену версію в джерелі немає. Поки патча немає, розгляньте тимчасове вимкнення плагіна.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Даних про експлуатацію вразливості та номер виправленої версії поки немає. Джерело: NVD (CVE-2026-15748).
