Pubblicato il 2026-08-01 · Fonte: NVD NIST
Il plugin Nex Forms – Ultimate Form Builder – Lite per WordPress è vulnerabile alla cancellazione di file arbitrari a causa di una vulnerabilità di path traversal. Ciò avviene perché il gestore AJAX delete_file() recupera il percorso del file dal database e lo passa direttamente alla funzione unlink() senza alcuna validazione. Inoltre, il gestore insert_record() consente all'utente autenticato di memorizzare un valore arbitrario nella colonna 'location', rendendo possibile la cancellazione di file arbitrari sul server del sito web. La vulnerabilità può essere sfruttata da utenti autenticati con accesso di livello admin o superiore.
Un attaccante autenticato con accesso di livello admin o superiore può sfruttare questa vulnerabilità per cancellare file arbitrari sul server del sito web, inclusi file critici come wp-config. Ciò può portare a conseguenze gravi, come la compromissione della sicurezza del sito web e la perdita di dati. Se il plugin è configurato per consentire l'accesso a utenti con privilegi inferiori, la vulnerabilità può essere sfruttata anche da questi utenti.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, si consiglia di aggiornare il plugin Nex Forms alla versione più recente disponibile. Inoltre, è importante limitare l'accesso al plugin solo agli utenti autenticati con privilegi necessari e monitorare regolarmente le attività del sito web per rilevare eventuali tentativi di sfruttamento della vulnerabilità. In generale, è importante mantenere sempre aggiornati i plugin e i temi del sito web e applicare le pratiche di sicurezza più recenti per prevenire le vulnerabilità.
La vulnerabilità CVE-2026-15450 è una vulnerabilità di path traversal nel plugin Nex Forms per WordPress che consente la cancellazione di file arbitrari.
Per determinare se il tuo sito web è vulnerabile, controlla la versione del plugin Nex Forms installata. Se la versione è inferiore o uguale a 9.2.3, il tuo sito web potrebbe essere vulnerabile.
Per proteggerti da questa vulnerabilità, aggiorna il plugin Nex Forms alla versione più recente disponibile e limita l'accesso al plugin solo agli utenti autenticati con privilegi necessari.
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.