CVE-2026-17196 in Super Forms Plugin
Сводка
по VulDB • 08.10.2026
Плагин для WordPress Super Forms – Drag & Drop Form Builder уязвим к загрузке файлов с неограниченным типом во всех версиях вплоть до 6.3.316 включительно через функцию upload_files. Это связано с отсутствием проверки типа файла в функции upload_files, которая считывает и применяет строку расширений, контролируемую злоумышленником из метаданных поста _super_elements дословно как карту разрешенных MIME-типов. Это позволяет аутентифицированным злоумышленникам с уровнем доступа Subscriber (Подписчик) и выше загружать файлы, которые могут быть исполняемыми, что делает возможным удалённое выполнение кода (RCE). Атака требует предварительного шага: отравления метаданных поста _super_elements через AJAX-обработчик super_save_form, который не проверяет права доступа (capability) и nonce, но требует аутентификации пользователя как минимум с уровнем Subscriber; последующая загрузка файла через super_upload_files вообще не требует аутентификации.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.