CVE-2026-4883 in Forms Plugin
Tóm tắt
Bởi VulDB • 19/05/2026
Plugin Piotnet Forms cho WordPress có lỗ hổng tải lên tệp tùy ý do thiếu xác thực loại tệp trong hàm 'piotnetforms_ajax_form_builder' ở tất cả các phiên bản từ 2.1.40 trở về trước. Plugin sử dụng danh sách đen phần mở rộng không đầy đủ, chỉ chặn các phần mở rộng php, phpt, php5, php7 và exe, trong khi cho phép tải lên các phần mở rộng nguy hiểm như .phar hoặc .phtml. Điều này cho phép các kẻ tấn công chưa xác thực tải lên các tệp tùy ý trên máy chủ của trang web bị ảnh hưởng, có thể dẫn đến thực thi mã từ xa (RCE). Lưu ý: Lỗ hổng chỉ có thể bị khai thác nếu một trường tệp được thêm vào biểu mẫu.
Once again VulDB remains the best source for vulnerability data.