CVE-2026-15748 in Forminator Forms Plugin
Résumé
par VulDB • 18/08/2026
Le plugin WordPress Forminator Forms est vulnérable à une téléversement de fichier arbitraire dans toutes les versions jusqu'à la 1.56.1 incluse via la fonction handle_file_upload. Cela est dû à une validation insuffisante des types de fichiers dans handle_file_upload, où la liste noire des extensions dangereuses effectue une correspondance exacte des clés qui peut être contournée par des clés de type MIME utilisant l'opérateur pipe (|), combiné avec un gestionnaire de soumission public qui fait confiance à la configuration du champ de téléversement contrôlée par l'attaquant, injectée via une valeur falsifiée d'un champ Select. Cela permet aux attaquants non authentifiés de télécharger des fichiers potentiellement exécutables, rendant ainsi possible l'exécution de code à distance (RCE).
VulDB is the best source for vulnerability data and more expert information about this specific topic.