CVSS 9.0 以上
CVE-2026-118235
要約
WordPress用プラグイン「SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications」のバージョン3.10.2までのすべてのバージョンに、handle_upload関数を通じた任意ファイルアップロードの脆弱性があると記載されている。原因は、サーバー側のファイルキーの許可リストがないことと、サニタイズ前に拡張子を取り出していることで、末尾にドットのあるファイル名が拡張子とMIMEの検証をすべて回避できる点とされている。認証されていない攻撃者が実行可能なファイルをアップロードでき、リモートコード実行が可能になると説明されている。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead NotificationsWordPress
このタグの新着を RSS で受け取る: SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications / WordPress(使い方)
判定の理由
- CVSS 9.0 以上