Résumé
généré automatiquement à partir des données NVDLe plugin WordPress SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications, dans toutes ses versions jusqu'à la 3.10.2 incluse, permet un téléversement arbitraire de fichiers (CWE-434) via la fonction handle_upload. Un nom de fichier se terminant par un point contourne les validations d'extension et de MIME, et le seul contrôle d'accès est un nonce exposé dans l'attribut data-nonce de chaque formulaire public. Un attaquant non authentifié peut ainsi téléverser des fichiers potentiellement exécutables, ce qui ouvre la voie à une exécution de code à distance. Score CVSS v3.1 : 9.8 (critique).
Description NVD (anglais)
The SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 3.10.2 via the handle_upload function. This is due to missing server-side file key allowlist and pre-sanitization extension derivation that allows a trailing-dot filename to bypass all extension and MIME validation in handle_upload. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible. The only access control is a nonce that is printed into every public form's data-nonce attribute, making it trivially obtainable by any unauthenticated visitor on a page embedding the form shortcode.
EPSS · FIRST.org
0,74 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 54 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 31 oct. 2026, recalculé chaque jour par FIRST.org.
Score CVSS v3.1
Informations
- Publié
- 31 oct. 2026
- Mis à jour
- 31 oct. 2026
- Statut
- Received
- Source
- security@wordfence.com
Faiblesses (CWE)
Références (9)
CVEs similaires
Autres vulnérabilités de type CWE-434
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.