EXPLOIT PÚBLICODetectada 06 NOV · 17:11

CVE-2026-118423 Carga arbitraria de archivos en WP Libre Form permite ejecución remota de código

El plugin WP Libre Form 1.5.0.1 no valida el tipo de archivos subidos mediante los formularios, lo que permite a atacantes no autenticados subir archivos PHP a una ubicación accesible por web y ejecutarlos, derivando en ejecución remota de código.

10.0CRÍTICA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,6 % · percentil 47
Explotada activamenteNo confirmada
Exploit públicoSí, 2

Afectados

WP Libre Form
desde 1.5.0.1 hasta 1.5.0.1

Qué hacer

Verificá si usás WP Libre Form y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Priorizá la corrección: hay código de explotación público.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 3.1 · 10.0 CRÍTICA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceCambiado
ConfidencialidadAlta
IntegridadAlta
DisponibilidadAlta

Descripción original

The WP Libre Form WordPress plugin 1.5.0.1 does not validate the type of files uploaded through its form submissions, allowing unauthenticated attackers to upload PHP files to a web-accessible location and execute them, leading to remote code execution.

Referencias (1)

wpscan.com/vulnerability/35149a79-aee1-4f13-ba29-583c2224c5da/

Historial (2)

06 NOV · 17:11EXPLOIT PÚBLICOSe publicó thiscitze/cve-2026-118423-poc.
06 NOV · 23:02EXPLOIT PÚBLICOSe publicó Sable-Research/CVE-2026-118423-WP-Libre-Form.

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.