CVE-2026-14894

Das Plugin Super Forms – Drag & Drop Form Builder für WordPress ist in allen Versionen bis einschließlich 6.3.313 anfällig für Arbitrary File Upload über die Funktion submit_form. Dies ist auf eine fehlende Dateitypvalidierung und das Fehlen jeglicher Capability-Prüfung im submit_form-nopriv-AJAX-Handler zurückzuführen, dessen einzige Hürde ein Session-Nonce ist, das von nicht authentifizierten Besuchern über einen separaten nopriv-Endpunkt frei erhältlich ist. Dies ermöglicht es nicht authentifizierten Angreifern, Dateien hochzuladen, die ausführbar sein können, was Remote Code Execution ermöglicht. Die Nonce-Anforderung wird trivial umgangen, da die super_create_nonce-nopriv-AJAX-Action jedem nicht authentifizierten Besucher erlaubt, mit einer einzigen vorherigen Anfrage einen gültigen sf_nonce und ein Session-Cookie zu erstellen, wodurch die Ausnutzung auf zwei nicht authentifizierte HTTP-Requests reduziert wird.