Heimdall Security Logo

CVE-2026-15748

Vulnérabilité critique dans Forminator Forms – Contact Form, Payment Form & Custom Form Builder (wpmudev)

CVSS 9.8 · Critique
EPSS 6.1%
wpmudev•Forminator Forms – Contact Form, Payment Form & Custom Form Builder•Versions : <=1.56.1, 0

Description

The Forminator Forms plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 1.56.1 via the handle_file_upload function. This is due to insufficient file type validation in handle_file_upload, where the dangerous-extension blocklist performs exact-key matching that is bypassed by pipe-alternative MIME type keys, combined with a public submission handler that trusts attacker-controlled upload field configuration injected via a forged Select field value. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible.

Gravité et risque d'exploitation

CVE-2026-15748 obtient un score CVSS de 9.8/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 6.14 %, ce qui la place devant 93.4 % des CVE référencées.

Que faire ?

  • Vérifiez si Forminator Forms – Contact Form, Payment Form & Custom Form Builder (versions <=1.56.1, 0) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE