CVE-2026-17196
Beschrijving NL
De Super Forms – Drag & Drop Form Builder plugin voor WordPress is kwetsbaar voor Unrestricted File Type Upload in alle versies tot en met 6.3.316 via de upload_files functie. Dit komt door ontbrekende validatie van het bestandstype in de functie upload_files, die een door aanvallers gecontroleerde extensiestring from _super_elements post meta verbatim leest en toepast als de toegestane MIME-type map. Dit maakt het voor geauthenticeerde aanvallers, met toegang op abonneeniveau en hoger, mogelijk om bestanden te uploaden die uitvoerbaar kunnen zijn, waardoor het uitvoeren van code op afstand mogelijk wordt. De aanval vereist een voorafgaande stap: het vergiftigen van de _super_elements post meta via de super_save_form Ajax-handler, die een mogelijkheid en nonce-controle mist, maar vereist dat de aanvaller wordt geverifieerd als minimaal een gebruiker op abonneeniveau; het volgende uploaden van bestanden via super_upload_files vereist helemaal geen authenticatie.
Origineel (Engels) tonen
The Super Forms – Drag & Drop Form Builder plugin for WordPress is vulnerable to Unrestricted File Type Upload in all versions up to, and including, 6.3.316 via the upload_files function. This is due to missing file type validation in the upload_files function, which reads and applies an attacker-controlled extensions string from _super_elements post meta verbatim as the allowed MIME type map. This makes it possible for authenticated attackers, with Subscriber-level access and above, to upload files that may be executable, which makes remote code execution possible. The attack requires a preceding step: poisoning the _super_elements post meta via the super_save_form AJAX handler, which lacks a capability and nonce check but requires the attacker to be authenticated as at minimum a Subscriber-level user; the subsequent file upload via super_upload_files requires no authentication at all.