CVE-2026-118235

KrytyczneCVSS 9.8

Opublikowano: 31/10/2026(UTC)Przetłumaczono: 31/10/2026(UTC)NVD NIST

Streszczenie

Wtyczka SimpleForm dla WordPressa (wersje do 3.10.2) jest podatna na dowolne przesyłanie plików przez funkcję handle_upload. Brak listy dozwolonych kluczy plików oraz obejście walidacji rozszerzenia i MIME nazwą pliku z końcową kropką pozwala nieuwierzytelnionym atakującym przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu. Jedyną kontrolą dostępu jest nonce publikowany w atrybucie data-nonce każdego publicznego formularza.

Ocena ryzyka

Nieuwierzytelniony atakujący może zdalnie wykonać kod na serwerze, przejmując kontrolę nad witryną WordPress. Wymaga to jedynie odwiedzenia strony z osadzonym shortcode formularza w celu pozyskania nonce.

Rekomendacja

Zaktualizuj wtyczkę SimpleForm do wersji nowszej niż 3.10.2 lub ją wyłącz, jeśli poprawka nie jest dostępna. Dodatkowo rozważ ograniczenie możliwości przesyłania plików i monitorowanie nietypowych plików w katalogu uploads.

Inne podatności w SimpleForm WordPress plugin

CVE-2026-104748Krytyczne
Wtyczka SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications dla WordPressa w wersjach do 3.10.0 włącznie jest podatna na eskalację uprawnień. Akcja AJAX `wp_ajax_nopriv_simpleform_wp_register` nie sprawdza uprawnień do przypisywania ról, a funkcja `save_custom_fields_to_user_meta()` używa listy wykluczeń pomijającej `wp_capabilities`, co w połączeniu z domyślnymi ustawieniami `get_form_settings()` umożliwia nieuwierzytelnionemu atakującemu utworzenie konta administratora WordPressa. Wymagany nonce jest publicznie ujawniany w obiekcie JavaScript `front_end_data` na każdej stronie front-endu, więc każdy niezalogowany odwiedzający może go łatwo pozyskać.

Oryginalny opis (angielski, źródło NVD)

The SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 3.10.2 via the handle_upload function. This is due to missing server-side file key allowlist and pre-sanitization extension derivation that allows a trailing-dot filename to bypass all extension and MIME validation in handle_upload. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible. The only access control is a nonce that is printed into every public form's data-nonce attribute, making it trivially obtainable by any unauthenticated visitor on a page embedding the form shortcode.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS