CVE-2026-92820 in Ninja Forms Plugin
Zusammenfassung
von VulDB • 02.10.2026
Das WordPress-Plugin Ninja Forms - File Uploads ist in allen Versionen bis einschließlich 3.3.34 anfällig für willkürliche Dateioperationen über den externen (Amazon S3) Upload-Prozess. Das Plugin vertraut einem vom Angreifer bereitgestellten Dateipfad aus der Formularübermittlung und speichert diesen als file_path des Uploads, der anschließend ohne Validierung verwendet wird, um eine Datei an die Benachrichtigungs-E-Mail des Formulars anzuhängen (willkürlicher Lesezugriff), abgerufenen Inhalt zu schreiben (willkürliches Schreiben von Dateien, was bei konfigurierter externer Speicherung zur Remote Code Execution führt) und in einer geplanten Löschung (willkürliches Löschen von Dateien). Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Dateien auf dem Server zu lesen, zu schreiben oder zu löschen. Die Ausnutzung erfordert, dass die Website die Aktion „External File Upload (Amazon S3)" des Plugins verwendet; für die Lesevariante ist zusätzlich eine Formular-E-Mail-Aktion erforderlich, die den hochgeladenen Dateianhang vorsieht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.