CVE-2026-17196
WysokieCVSS 8.8Streszczenie
Wtyczka Super Forms – Drag & Drop Form Builder dla WordPressa do wersji 6.3.316 jest podatna na nieograniczone przesyłanie plików przez funkcję upload_files. Brak walidacji typów plików powoduje, że atakujący z uprawnieniami Subscriber i wyższymi może przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu. Atak wymaga wcześniejszego zatrucia meta _super_elements przez handler super_save_form, który nie sprawdza uprawnień ani nonce, a następnie przesłanie pliku przez super_upload_files bez uwierzytelnienia.
Ocena ryzyka
Ryzyko zdalnego wykonania kodu na serwerze WordPress, co może prowadzić do przejęcia witryny, kradzieży danych lub użycia serwera do dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę Super Forms do najnowszej wersji. Ogranicz uprawnienia użytkowników do minimum i monitoruj aktywność AJAX.
Inne podatności w Super Forms – Drag & Drop Form Builder
Zobacz wszystkie- CVE-2026-14894Krytyczne
Wtyczka Super Forms – Drag & Drop Form Builder dla WordPressa do wersji 6.3.313 włącznie zawiera podatność na dowolne przesyłanie plików w funkcji submit_form. Brak walidacji typu pliku oraz brak sprawdzenia uprawnień w nopriv AJAX handlerze umożliwia nieuwierzytelnionym atakującym przesyłanie plików wykonywalnych, co prowadzi do zdalnego wykonania kodu. Ominięcie zabezpieczenia nonce jest trywialne dzięki oddzielnemu endpointowi super_create_nonce, który generuje ważny nonce i ciasteczko sesji.
- CVE-2026-15983Wysokie
Wtyczka Super Forms – Drag & Drop Form Builder dla WordPressa do wersji 6.3.316 włącznie jest podatna na dowolne usuwanie plików i katalogów. Podatność wynika z braku kontroli uprawnień w handlerze AJAX `super_save_form`, który pozwala użytkownikom z poziomem Subscriber na tworzenie i modyfikację formularzy oraz włączenie ustawienia `file_upload_submission_delete`, a także z nieodpowiedniego przekazywania wartości `files[].subdir` do funkcji `SUPER_Common::delete_dir()` bez sanityzacji. Ochrona `ABSPATH` może być łatwo ominięta przez podanie wartości `wp-config.php`, co pozwala na rekurencyjne usuwanie plików i katalogów na serwerze, aż do całkowitego usunięcia instalacji WordPressa.
Oryginalny opis (angielski, źródło NVD)
The Super Forms – Drag & Drop Form Builder plugin for WordPress is vulnerable to Unrestricted File Type Upload in all versions up to, and including, 6.3.316 via the upload_files function. This is due to missing file type validation in the upload_files function, which reads and applies an attacker-controlled extensions string from _super_elements post meta verbatim as the allowed MIME type map. This makes it possible for authenticated attackers, with Subscriber-level access and above, to upload files that may be executable, which makes remote code execution possible. The attack requires a preceding step: poisoning the _super_elements post meta via the super_save_form AJAX handler, which lacks a capability and nonce check but requires the attacker to be authenticated as at minimum a Subscriber-level user; the subsequent file upload via super_upload_files requires no authentication at all.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS