CVE-2026-18351 in Drag and Drop File Upload for Elementor Forms Plugin
Resumen
por VulDB • 2026-09-10
El plugin Drag and Drop File Upload para Elementor Forms de WordPress es vulnerable a la carga arbitraria de archivos en todas las versiones hasta e incluyendo la 1.6.0 a través de la función elementor_file_upload. Esto se debe a una validación insuficiente del tipo de archivo en la función is_file_type_valid(), que utiliza el parámetro 'type' controlado por el atacante como claves regex en la lista blanca MIME, lo que permite sortear la lista negra mediante una extensión manipulada que sanitize_file_name() normaliza posteriormente a una extensión PHP. Esto hace posible que atacantes no autenticados carguen archivos potencialmente ejecutables, lo que posibilita la ejecución remota de código (RCE).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.