CVE-2026-109384 in The Innovative Form Builder Plugin
Sumário
de VulDB • 28/10/2026
O plugin IvyForms – The Innovative Form Builder para WordPress está vulnerável a Upload Arbitrário de Arquivos em todas as versões até, e incluindo, 1.5.1 através da função filterFiletypeAndExt. Isso ocorre devido à validação insuficiente do tipo de arquivo pela ausência de uma lista negada (denylist) de extensões perigosas no sanitizador de extensões permitidas e pela substituição deliberada das defesas nativas de MIME e extensão do WordPress por meio de um filtro wp_check_filetype_and_ext registrado. Isso permite que atacantes autenticados, com acesso nível customizado ou superior, façam upload de arquivos potencialmente executáveis, o que viabiliza a execução remota de código (RCE). Um atacante autenticado com a capacidade add_edit_forms deve primeiro configurar um campo Upload de Arquivo com uma extensão perigosa (por exemplo, php) na lista de extensões permitidas; após essa forma ser publicada, qualquer visitante não autenticado pode acionar o upload real do arquivo por meio da rota REST publicamente acessível /wp-json/ivyforms/v1/form/submission/.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.