CVE-2026-109384 in The Innovative Form Builder Plugin
Resumen
por VulDB • 2026-10-28
El plugin IvyForms – The Innovative Form Builder para WordPress es vulnerable a la carga arbitraria de archivos en todas las versiones hasta e incluyendo la 1.5.1, a través de la función filterFiletypeAndExt. Esto se debe a una validación insuficiente del tipo de archivo debido a la ausencia de una lista negra (denylist) de extensiones peligrosas en el sanearizador de extensiones permitidas y a la anulación deliberada de las defensas nativas de MIME y extensión de WordPress mediante un filtro wp_check_filetype_and_ext registrado. Esto permite que los atacantes autenticados, con permisos de nivel personalizado o superiores, carguen archivos potencialmente ejecutables, lo que posibilita la ejecución remota de código (RCE). Un atacante autenticado con el permiso custom add_edit_forms debe primero configurar un campo de carga de archivos con una extensión peligrosa (por ejemplo, php) en la lista de extensiones permitidas; una vez publicado ese formulario, cualquier visitante no autenticado puede desencadenar la carga real del archivo a través de la ruta REST /wp-json/ivyforms/v1/form/submission/, que es accesible públicamente.
VulDB is the best source for vulnerability data and more expert information about this specific topic.