CVE-2026-109384 Carga arbitraria de archivos en Innovative Form Builder vía allowedFileExtensions
El plugin de WordPress Innovative Form Builder – IvyForms, hasta la versión 1.5.1 inclusive, es vulnerable a carga arbitraria de archivos mediante la función filterFiletypeAndExt por validación insuficiente de tipos de archivo. Un atacante autenticado con capacidad add_edit_forms debe configurar primero un campo de carga con una extensión peligrosa (por ejemplo, php) en la lista de extensiones permitidas; una vez publicado el formulario, cualquier visitante no autenticado puede concretar la carga y posibilitar…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,7 % · percentil 54
- Explotada activamenteNo confirmada
- Exploit públicoSí, 1
Afectados
melograno The Innovative Form Builder – IvyForms
hasta 1.5.1
Qué hacer
- Verificá si usás The Innovative Form Builder – IvyForms y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
- Priorizá la corrección: hay código de explotación público.
Exploits públicos
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
Calculadora CVSS
CVSS 3.1 · 8.8 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The The Innovative Form Builder – IvyForms plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 1.5.1 via the filterFiletypeAndExt function. This is due to insufficient file type validation due to the absence of a dangerous-extension denylist in the allowed-extensions sanitizer and deliberate override of WordPress's native MIME and extension defences via a registered wp_check_filetype_and_ext filter. This makes it possible for authenticated attackers, with custom-level access and above, to upload files that may be executable, which makes remote code execution possible. An authenticated attacker with the custom add_edit_forms capability must first configure a File Upload field with a dangerous extension (e.g., php) in the allowed-extensions list; once that form is published, any unauthenticated visitor can trigger the actual file upload via the publicly accessible /wp-json/ivyforms/v1/form/submission/ REST route.
Referencias (7)
- www.wordfence.com/threat-intel/vulnerabilities/id/52ca2269-a7f4-477c-bacd-0321ad09e679?so…
- plugins.trac.wordpress.org/browser/ivyforms/tags/1.5.1/backend/src/Services/Submission/Su…
- plugins.trac.wordpress.org/browser/ivyforms/tags/1.5.1/backend/src/Services/Submission/Su…
- plugins.trac.wordpress.org/browser/ivyforms/tags/1.5.1/backend/src/Services/Submission/Su…
- plugins.trac.wordpress.org/browser/ivyforms/tags/1.5.1/backend/src/Common/Sanitizer/Sanit…
- plugins.trac.wordpress.org/browser/ivyforms/tags/1.5.1/backend/src/Routes/Form/Form.php#L…
- plugins.trac.wordpress.org/changeset?reponame=&old=3757861%40ivyforms&new=3757861%40ivyfo…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.