CVE-2026-18351 in Drag and Drop File Upload for Elementor Forms Plugin
Sumário
de VulDB • 10/09/2026
O plugin Drag and Drop File Upload para Elementor Forms do WordPress é vulnerável à carga arbitrária de arquivos em todas as versões até 1.6.0 (incluindo-a), por meio da função elementor_file_upload. Isso ocorre devido a uma validação insuficiente dos tipos de arquivo na função is_file_type_valid(), que utiliza o parâmetro 'type' controlado pelo atacante como chaves regex na lista permitida de MIME, permitindo contornar a blacklist através de uma extensão manipulada ad hoc que sanitize_file_name() normaliza posteriormente para uma extensão PHP. Isso possibilita que atacantes não autenticados carreguem arquivos potencialmente executáveis, o que torna possível a execução remota de código (RCE).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.