В популярном плагине Forminator Forms для WordPress обнаружили критическую уязвимость, которая позволяет неаутентифицированному атакующему загрузить на сайт произвольный PHP-файл и добиться удаленного выполнения кода. Плагин установлен более чем на 600 000 сайтах, и около половины из них все еще используют уязвимую версию.
Уязвимость получила идентификатор CVE-2026-15748 (9,8 балла по шкале CVSS), и ее обнаружил ИБ-исследователь под ником daroo, который сообщил об уязвимости специалистам Wordfence.
Баг был найден в функции handle_file_upload(), которая недостаточно строго проверяет тип загружаемых файлов. По данным специалистов, черный список опасных расширений полагается на точное совпадение ключей, однако эту проверку можно обойти при помощи ключей MIME-типов, в которых альтернативные значения разделены символом «|».
Кроме того, публичный обработчик отправки форм доверяет настройкам поля загрузки, которым может управлять атакующий: для этого ему придется подделать значение поля Select и передать собственные параметры для File Upload.
В результате неаутентифицированный злоумышленник получает возможность отправить специально подготовленную форму и загрузить на сервер произвольный файл, в том числе с исполняемым PHP-кодом. Такая атака может привести к установке веб-шелла, удаленному выполнению команд и полной компрометации сайта.
Однако отмечается, что для успешной эксплуатации этого бага на целевом сайте должна присутствовать форма, одновременно содержащая поля File Upload и Select. Кроме того, по умолчанию все загруженные файлы попадают в директорию с .htaccess, который запрещает выполнение PHP.
Если же администратор настроил собственный каталог через Custom File Upload Storage, опасность возрастает. По словам специалистов, в таком хранилище .htaccess может не создаваться, поскольку нужный механизм WordPress недоступен во время первого фронтенд-запроса. В итоге атакующему достаточно напрямую обратиться к загруженному PHP-файлу, и веб-сервер выполнит вредоносный код.
Сообщается, что CVE-2026-15748 затрагивает все версии Forminator Forms до 1.56.1 включительно. Разработчики исправили проблему в версии 1.56.2, которая вышла 31 июля 2026 года. Но согласно официальной статистике WordPress, примерно половина сайтов по-прежнему работает с уязвимыми версиями плагина, из-за чего под угрозой находятся более 300 000 ресурсов.
