CVE-2026-4883 in Forms Plugin
要約
〜によって VulDB • 2026年05月19日
WordPress用プラグイン「Piotnet Forms」には、すべてのバージョン（2.1.40を含む）において、'piotnetforms_ajax_form_builder'関数でのファイルタイプの検証欠如により、任意のファイルアップロードの脆弱性が存在します。このプラグインは不完全な拡張子のブラックリストを使用しており、php、phpt、php5、php7、およびexeの拡張子のみをブロックし、.pharや.phtmlなどの危険な拡張子のアップロードを許可しています。これにより、認証されていない攻撃者が影響を受けるサイトのサーバー上に任意のファイルをアップロードすることが可能になり、リモートコード実行（RCE）が可能になる可能性があります。注：この脆弱性は、フォームにファイルフィールドが追加されている場合にのみ悪用できます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.