CVE-2026-78657
KrytyczneCVSS 9.8Streszczenie
Wtyczka SigmaForms Pro – AI Generated Forms dla WordPressa do wersji 1.4.11 włącznie jest podatna na arbitralne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji delete_submission_files. Niezalogowani atakujący mogą usuwać dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu, jeśli usunięty zostanie odpowiedni plik, np. wp-config.php. Złośliwy adres URL z path traversal jest przesyłany przez pole formularza i przechowywany w bazie danych, a usunięcie następuje, gdy administrator usunie rekord zgłoszenia z panelu administracyjnego.
Ocena ryzyka
Ryzyko jest krytyczne, ponieważ atakujący bez uwierzytelnienia może usunąć kluczowe pliki serwera, co może doprowadzić do całkowitego przejęcia kontroli nad witryną WordPress.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji, która zawiera poprawkę. Dodatkowo należy ograniczyć dostęp do panelu administracyjnego i monitorować logi pod kątem podejrzanych działań.
Inne podatności w SigmaForms Pro – AI Generated Forms
Oryginalny opis (angielski, źródło NVD)
The SigmaForms Pro – AI Generated Forms plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the delete_submission_files function in all versions up to, and including, 1.4.11. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). The malicious path traversal URL is submitted via form upload field and stored in the database, with deletion triggered when an administrator deletes the submission record from the admin panel.