Vulnerabilitate critică în Forminator Forms: CVE-2026-15748 permite preluarea unui site WordPress
O vulnerabilitate critică a fost descoperită în Forminator Forms, unul dintre cele mai populare plugin-uri WordPress pentru formulare de contact, sondaje, quiz-uri și formulare cu upload de fișiere.
Problema, identificată ca CVE-2026-15748, are un scor de severitate de 9.8 din 10 și afectează versiunile Forminator până la 1.56.1 inclusiv. Plugin-ul este instalat pe peste 600.000 de site-uri WordPress.
Ce poate face un atacator?
În anumite configurații, un atacator poate încărca pe site un fișier PHP malițios fără să aibă nevoie de cont sau parolă.
Dacă acel fișier poate fi executat de server, atacatorul poate ajunge să controleze site-ul.
Practic, acest lucru poate însemna:
- modificarea sau ștergerea conținutului;
- crearea unor conturi WordPress de administrator;
- accesarea bazei de date;
- furtul unor informații sau parole;
- instalarea de malware;
- folosirea site-ului pentru spam, phishing sau alte atacuri.
Wordfence clasifică vulnerabilitatea drept una de tip Arbitrary File Upload, care poate conduce la executarea de cod de la distanță și la compromiterea completă a site-ului.
Sunt toate site-urile cu Forminator vulnerabile?
Nu neapărat.
Atacul descris de cercetătorii Wordfence necesită existența unui formular care să conțină simultan:
- un câmp File Upload;
- un câmp Select.
Atacatorul poate manipula datele trimise prin formular astfel încât plugin-ul să accepte un fișier care în mod normal ar trebui blocat.
Chiar dacă site-ul tău nu folosește această combinație de câmpuri, actualizarea plugin-ului rămâne recomandată.
Ce versiuni sunt afectate?
Sunt vulnerabile:
Forminator Forms 1.56.1 și versiunile mai vechi.
Problema a fost rezolvată în:
Forminator Forms 1.56.2
În jurnalul oficial al plugin-ului, versiunea 1.56.2 este menționată explicit ca rezolvând vulnerabilitatea de tip „Arbitrary file upload”.
Ce trebuie să faci?
Dacă folosești Forminator pe un site WordPress:
- Intră în WordPress → Plugin-uri.
- Verifică versiunea Forminator.
- Actualizează plugin-ul la 1.56.2 sau o versiune mai nouă.
- Verifică formularele care permit upload de fișiere.
- Dacă site-ul a rulat o versiune vulnerabilă, verifică dacă au apărut fișiere PHP necunoscute în directoarele de upload.
Actualizarea rezolvă vulnerabilitatea, dar nu elimină automat eventualele fișiere malițioase încărcate înainte de instalarea update-ului.
Din acest motiv, pentru site-urile expuse public este recomandată și o verificare de securitate după actualizare.
Cât de gravă este problema?
CVE-2026-15748 are un scor CVSS 9.8/10 – Critical.
Unul dintre motivele pentru această clasificare este faptul că atacul poate fi realizat prin internet, fără autentificare și fără intervenția administratorului site-ului. CERT-In avertizează de asemenea asupra riscului de compromitere completă a site-ului și recomandă actualizarea la Forminator 1.56.2 sau mai nou.
Recomandarea Host IQ
Dacă folosești Forminator, actualizează plugin-ul cât mai repede și nu amâna update-urile de securitate.
Pentru un site WordPress important, simpla instalare periodică a update-urilor nu este întotdeauna suficientă. Este util să existe și backup-uri automate, monitorizare, firewall, reguli de securitate și verificări periodice ale fișierelor, astfel încât o eventuală compromitere să poată fi identificată rapid.
