CVE-2026-14894

El plugin Super Forms – Drag & Drop Form Builder para WordPress es vulnerable a la carga arbitraria de archivos en todas las versiones hasta la 6.3.313 incluida a través de la función submit_form. Esto se debe a la falta de validación del tipo de archivo y a la ausencia de cualquier comprobación de capacidades en el manejador AJAX nopriv de submit_form, cuya única barrera es un nonce de sesión que los visitantes no autenticados pueden obtener libremente a través de un endpoint nopriv separado. Esto permite a los atacantes no autenticados subir archivos que pueden ser ejecutables, lo que hace posible la ejecución remota de código. El requisito del nonce se evita de forma trivial porque la acción AJAX nopriv super_create_nonce permite a cualquier visitante no autenticado generar un sf_nonce válido y una cookie de sesión en una única solicitud previa, reduciendo la explotación a dos solicitudes HTTP no autenticadas.