CVE-2026-78657
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.7%
- CWE
- CWE-22
- KEV Durumu
- Hayır
Yayım tarihi: 2 Eylül 2026
SigmaForms Pro – AI Generated Forms eklentisi, WordPress için, delete_submission_files fonksiyonunda yetersiz dosya yolu doğrulaması nedeniyle keyfi dosya silme saldırılarına karşı savunmasızdır, bu durum 1.4.11 sürümüne kadar olan tüm sürümlerde mevcuttur. Bu, kimlik doğrulaması yapılmamış saldırganların sunucudaki keyfi dosyaları silmelerine olanak tanır, bu da doğru dosyanın silinmesi durumunda (örneğin wp-config.php) kolayca uzaktan kod çalıştırılmasına yol açabilir. Kötü niyetli yol gezintisi URL'si, form yükleme alanıyla gönderilir ve veritabanına kaydedilir, silme işlemini ise bir yönetici, yönetim panelinden gönderi kaydını sildiğinde tetiklenir.
Orijinal açıklama (İngilizce)
The SigmaForms Pro – AI Generated Forms plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the delete_submission_files function in all versions up to, and including, 1.4.11. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). The malicious path traversal URL is submitted via form upload field and stored in the database, with deletion triggered when an administrator deletes the submission record from the admin panel.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.