CVE-2026-14894

Le plugin Super Forms – Drag & Drop Form Builder pour WordPress est vulnérable au téléversement arbitraire de fichiers dans toutes les versions jusqu'à la version 6.3.313 incluse via la fonction submit_form. Cela est dû à l'absence de validation du type de fichier et à l'absence de tout contrôle de capacité sur le gestionnaire AJAX nopriv submit_form, dont la seule barrière est un nonce de session librement obtenable par des visiteurs non authentifiés via un endpoint nopriv distinct. Cela permet à des attaquants non authentifiés de téléverser des fichiers pouvant être exécutables, ce qui rend possible l'exécution de code à distance. L'exigence de nonce est trivialement contournée car l'action AJAX nopriv super_create_nonce permet à tout visiteur non authentifié de générer un sf_nonce et un cookie de session valides en une seule requête préalable, réduisant l'exploitation à deux requêtes HTTP non authentifiées.