CVE-2026-10818

WysokieCVSS 8.1

Opublikowano: 25/07/2026(UTC)Zaktualizowano: 27/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.42%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

Wtyczka WPForms Pro dla WordPressa w wersjach do 1.10.1.1 włącznie jest podatna na dowolne przesyłanie plików przez funkcję ajax_chunk_upload_finalize. Walidacja typu pliku następuje po zapisaniu danych na dysku, a nieudana walidacja nie usuwa złożonego pliku. Nieuwierzytelniony atakujący może przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.

Ocena ryzyka

Organizacja używająca WPForms Pro jest narażona na zdalne wykonanie kodu przez nieuwierzytelnionego atakującego przesyłającego złośliwy plik.

Rekomendacja

Zaktualizuj WPForms Pro do wersji nowszej niż 1.10.1.1, która zawiera poprawkę.

Inne podatności w WPForms Pro

CVE-2026-18409Wysokie
Wtyczka WPForms Pro dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w polach tekstowych (Single Line Text i Paragraph Text) we wszystkich wersjach do 2.0.0.2 włącznie. Problem wynika z niedostatecznej sanitizacji wejścia i braku escape'owania wyjścia. Niezautoryzowany atakujący może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Exploit wykorzystuje rozszerzenie listy dozwolonych znaczników przez plugin (wp_kses_allowed_html), które pozwala na iframe z atrybutem data-src, co umożliwia przetrwanie URI javascript: i późniejsze przekształcenie w atrybut src przez skrypt view-entry.min.js.

Oryginalny opis (angielski, źródło NVD)

The WPForms Pro plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 1.10.1.1 via the ajax_chunk_upload_finalize function. This is due to the file type validation occurring after chunk metadata and file contents have already been written to disk, and the assembled file not being deleted upon validation failure. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible.