CVE-2026-14894

Il plugin Super Forms – Drag & Drop Form Builder per WordPress è vulnerabile ad Arbitrary File Upload in tutte le versioni fino alla 6.3.313 inclusa tramite la funzione submit_form. Ciò è dovuto alla mancata convalida del tipo di file e all'assenza di qualsiasi controllo delle capability sull'handler AJAX nopriv submit_form, la cui unica barriera è un session nonce liberamente ottenibile da visitatori non autenticati tramite un endpoint nopriv separato. Ciò consente ad attaccanti non autenticati di caricare file che potrebbero essere eseguibili, rendendo possibile la remote code execution. Il requisito del nonce viene banalmente aggirato perché l'azione AJAX nopriv super_create_nonce consente a qualsiasi visitatore non autenticato di generare uno sf_nonce valido e un cookie di sessione in una singola richiesta precedente, riducendo lo sfruttamento a due richieste HTTP non autenticate.