CVE-2026-15748
Forminator Forms <= 1.56.1 - Upload Arbitrário de Arquivos Não Autenticado via Configuração Forjada de Campo de Upload
- Publicado
- 18 de ago. de 2026
- Atualizado
- 18 de ago. de 2026
- Atribuindo CNA
- Wordfence
- Evidência observada
- 28 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBaixo · próximos 30 dias
- Percentil
- 93,4%
- Data do modelo
- 15 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
O plugin Forminator Forms para WordPress é vulnerável a Upload Arbitrário de Arquivos em todas as versões até, e incluindo, a 1.56.1, por meio da função handle_file_upload. Isso se deve à validação insuficiente do tipo de arquivo em handle_file_upload, onde a lista de bloqueio de extensões perigosas realiza correspondência exata de chaves que é contornada por chaves de tipo MIME alternativas com pipe, combinada com um manipulador de submissão público que confia na configuração de upload de campo controlada pelo atacante, injetada por meio de um valor de campo Select forjado. Isso possibilita que atacantes não autenticados façam upload de arquivos que podem ser executáveis, o que torna possível a execução remota de código.
Fontes
- CVE-2026-15748Exploit
Forminator Forms <= 1.56.1 - Upload Arbitrário de Arquivos Não Autenticado via Configuração Forjada de Campo de Upload
- cve-2026-15748Scanner
Analisa o Forminator do WordPress quanto ao RCE não autenticado CVE-2026-15748. Detecta sites vulneráveis, rastreia formulários, extrai nonces e executa testes de upload seguros.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.