Bezpečnost webu

SimpleForm – Unauthenticated Arbitrary File Upload via Trailing-Dot Filename

Závažnost

Kritická 🔴

Dotčený produkt

SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications, všechny verze do 3.10.2 včetně

Datum zveřejnění

30/10/2026

CVE označení

CVE-2026-118235

Hodnocení CVSS:

CVSS (Common Vulnerability Scoring System) je celosvětový standard pro měření a kvantifikaci závažnosti softwarových zranitelností. Poskytuje číselné skóre od 0 do 10, které bezpečnostním týmům pomáhá určit, jaké bezpečnostní chyby řešit přednostně

9,8/10

CVSS

Wordfence potvrdil kritickou chybu ve funkci handle_upload(), která nedostatečně kontroluje názvy, přípony a typy nahrávaných souborů.

Nepřihlášený útočník může prostřednictvím veřejného formuláře nahrát potenciálně spustitelný soubor na server. Chybu způsobuje možnost obejít kontrolu přípony pomocí speciálně upraveného názvu souboru.

Bezpečnostní nonce je dostupný přímo ve veřejném formuláři, takže nepředstavuje účinnou ochranu před útokem. Za podmínek umožňujících spuštění nahraného souboru může dojít ke vzdálenému spuštění PHP kódu (RCE).

Doporučené kroky

Doporučujeme okamžitě aktualizovat SimpleForm minimálně na verzi 3.11.0. U webů, které provozovaly postižené verze, je vhodné prověřit adresáře s nahranými soubory, zejména přítomnost neznámých PHP souborů, a zkontrolovat podezřelé požadavky na veřejné formuláře.

Pokud aktualizace není možná, doporučujeme plugin dočasně deaktivovat.

Zdroj: https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/simple-form/simpleform-3102-unauthenticated-arbitrary-file-upload-via-trailing-dot-filename-via-unknown-file-key-in-simpleform-get-submit-data

Autor a odborná kontrola: Aleš Zita, webový vývojář – Allimedia.cz

SimpleForm – Unauthenticated Arbitrary File Upload via Trailing-Dot Filename

Hodnocení CVSS:

Doporučené kroky

Máte web ve správě od Allimedia?

Nemáte web ve správě od Allimedia?