Ninja Forms - File Uploads: видалення та читання файлів (CVE-2026-126537)
У WordPress-доповненні Ninja Forms - File Uploads знайдено вразливість з оцінкою CVSS 9.1. Неавторизований атакувальник може видаляти довільні файли на сервері, а також читати файли через вивантаження в S3, Dropbox або Google Drive.
Перевіряється в Shield: ні
Кого стосується
Сайти на WordPress з доповненням Ninja Forms - File Uploads версії 3.3.36 і нижче. Причина: file_path, переданий клієнтом, не перевіряється на належність каталогу завантажень. Видалення wp-config.php може призвести до RCE.
Як перевірити в себе
В адмінці WordPress відкрийте розділ «Плагіни» і знайдіть Ninja Forms - File Uploads. Або виконайте команду wp plugin list. Версія 3.3.36 або нижче підпадає під вразливість.
Як виправити
Виправлену версію в джерелі не вказано. Стежте за оновленнями доповнення й встановіть патч одразу після виходу. Якщо доповнення не потрібне, його можна вимкнути.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Виправлена версія та факти експлуатації поки не розкриті. Джерело: NVD, CVE-2026-126537.
