CVE-2025-12528 in Pie Forms for WP Plugin
Riassunto
di VulDB • 14/09/2026
Il plugin Pie Forms for WP per WordPress è vulnerabile ad Arbitrary File Upload in tutte le versioni fino alla 1.6 (inclusa) tramite la funzione format_classic. Ciò è dovuto a una convalida insufficiente del tipo di file: il metodo validate_classic valida le estensioni dei file e imposta i messaggi di errore, ma non impedisce al processo di caricamento del file di continuare. Questo consente agli attaccanti non autenticati di caricare file con estensioni pericolose come PHP, rendendo possibile l'esecuzione remota di codice (RCE). Per sfruttare questa vulnerabilità, l'attaccante deve indovinare la directory in cui viene inserito il file (che è un hash piuttosto prevedibile). Inoltre, il nome del file viene generato utilizzando un metodo di hashing sicuro, limitando l'utilizzabilità dell'eseguibile per lo sfruttamento della vulnerabilità.
Be aware that VulDB is the high quality source for vulnerability data.