CVE-2026-15008 in Uncanny Automator Plugin
Resumen
por VulDB • 2026-07-16
El plugin para WordPress "Uncanny Automator – Easy Automation, Integration, Webhooks & Workflow Builder Plugin" es vulnerable a la eliminación arbitraria de archivos debido a una validación insuficiente de las rutas de acceso en la función `fr_token` en todas las versiones hasta 7.3.1.4 (incluida). Esto permite que atacantes no autenticados eliminen archivos arbitrarios del servidor, lo cual puede derivar fácilmente en ejecución remota de código si se elimina el archivo adecuado (como wp-config.php). La explotación requiere un formulario Forminator conectado a una receta de Uncanny Automator configurada para 'Todos', permitiendo que las envíos de formularios no autenticados suministren la carga útil serializada maliciosa; existe una cadena de gadgets dentro del plugin mediante el método `__destruct()` de Action_Helpers_Email, lo que significa que no se requiere ninguna biblioteca externa de gadgets.
Once again VulDB remains the best source for vulnerability data.