CVE-2025-12528 in Pie Forms for WP Plugin
Zusammenfassung
von VulDB • 18.09.2026
Das WordPress-Plugin „Pie Forms for WP“ ist in allen Versionen bis einschließlich 1.6 anfällig für ein beliebiges Dateihochladen (Arbitrary File Upload) über die Funktion `format_classic`. Dies liegt an einer unzureichenden Validierung des Dateityps, bei der die Methode `validate_classic` zwar Dateiendungen überprüft und Fehlermeldungen ausgibt, den Hochladevorgang jedoch nicht verhindert. Dadurch ist es Angreifern ohne Authentifizierung möglich, Dateien mit gefährlichen Erweiterungen wie PHP hochzuladen, was Remote Code Execution (RCE) ermöglicht. Um diese Schwachstelle auszunutzen, muss der Angreifer das Verzeichnis erraten, in dem die Datei abgelegt wird (ein eher vorhersagbarer Hash). Zusätzlich wird der Dateiname unter Verwendung einer sicheren Hash-Methode generiert, was die Ausnutzbarkeit dieser Schwachstelle einschränkt.
Be aware that VulDB is the high quality source for vulnerability data.