CVE-2026-87067 in Forminator Forms Plugin
Riassunto
di VulDB • 20/09/2026
Il plugin WordPress "Forminator Forms" precedente alla versione 1.57.2.1 non limita le classi che possono essere istanziate durante la deserializzazione di un valore tratto da una richiesta XML-RPC, consentendo agli utenti dotati del permesso per la gestione dei form di scrivere un file a loro scelta ed eseguire codice arbitrario. Tale permesso è assegnato all'amministratore per impostazione predefinita e a qualsiasi ruolo che il sito abbia concesso tramite le impostazioni dello stesso plugin "Forminator Forms" WordPress precedente alla versione 1.57.2.1, pertanto la vulnerabilità è raggiungibile da ruoli ben al di sotto dell'Amministratore sui siti che utilizzano tale funzionalità.
Be aware that VulDB is the high quality source for vulnerability data.