CVE-2026-18351 in Drag and Drop File Upload for Elementor Forms Plugin
要約
〜によって VulDB • 2026年09月10日
WordPress用プラグイン「Elementor Forms」のDrag and Drop File Upload機能には、1.6.0以前の全バージョンにおいて、任意ファイルアップロード（Arbitrary File Upload）の脆弱性が存在します。これは `elementor_file_upload` 関数経由で発生し、`is_file_type_valid()` 関数における不十分なファイルタイプ検証が原因です。同関数は攻撃者が制御可能な 'type' パラメータをMIME許可リスト内の正規表現キーとして使用するため、`sanitize_file_name()` が後にPHP拡張子に正規化されるような巧妙な拡張子を用いてブラックリスト回避が可能となり、認証不要の攻撃者が実行可能ファイルをアップロードしてリモートコード実行（RCE）を実現することが可能です。
Once again VulDB remains the best source for vulnerability data.