CVE-2026-109384: Upload arbitrario in IvyForms WordPress

Vulnerabilità critica in IvyForms WordPress: upload di file arbitrari consente RCE non autenticato.

CVE-2026-109384 colpisce il plugin WordPress IvyForms fino alla versione 1.5.1. La vulnerabilità risiede nella mancanza di una denylist per estensioni pericolose nella funzione filterFiletypeAndExt e nell'override deliberato dei meccanismi nativi di WordPress per MIME e estensioni. Questo permette a visitatori non autenticati di caricare file eseguibili tramite la REST API pubblica /wp-json/ivyforms/v1/form/submission/, purché un amministratore abbia precedentemente abilitato estensioni pericolose (ad es. .php) nel form.

La vulnerabilità ha un punteggio CVSS di 8,8 (high). Il segnale più critico è la disponibilità di una proof-of-concept pubblica su GitHub dal 30 ottobre 2026 (due giorni dopo la pubblicazione in NVD del 28 ottobre), indicatore di un potenziale sfruttamento imminente. L'exploit è non autenticato e accessibile da qualsiasi visitatore web, indipendentemente dal suo ruolo.

Amministratori di siti WordPress che utilizzano IvyForms devono verificare immediatamente la versione installata. Se è versione 1.5.1 o inferiore, aggiornare al patch correttivo è la priorità assoluta. Se l'aggiornamento non è immediatamente possibile, disabilitare il plugin riduce il rischio. Revisionare i log di accesso alla REST API /wp-json/ivyforms/ per segnali di upload sospetti e audit dei file caricati sono azioni consigliate per identificare sfruttamento pregresso.

In sintesi

Cosa: CVE-2026-109384 colpisce il plugin WordPress IvyForms fino alla versione 1.5.1. La falla risiede nella mancanza di una denylist per estensioni pericolose nella funzione filterFiletypeAndExt e nell'override deliberato dei meccanismi nativi di WordPress per MIME e estensioni. Consente a visitatori non autenticati di caricare file eseguibili tramite la REST API pubblica /wp-json/ivyforms/v1/form/submission/, purché un amministratore abbia precedentemente abilitato estensioni pericolose (ad es. .php) nel form.
Gravità: CVSS 8,8 (high). La vulnerabilità consente Remote Code Execution (RCE) su server WordPress.
Versioni interessate: IvyForms fino alla versione 1.5.1 inclusa.
Correzione: Aggiornare alla versione successiva a 1.5.1 (patch disponibile).
Stato: Pubblicata in NVD il 28 ottobre 2026. Repository GitHub pubblico con PoC segnalato il 30 ottobre 2026 (noxcrypt-x).
Azione: Verificare immediatamente se IvyForms è installato. Se versione ≤ 1.5.1, aggiornare senza ritardo. Se aggiornamento non immediatamente possibile, disabilitare il plugin. Revisionare log di accesso a /wp-json/ivyforms/* per upload sospetti e audit dei file caricati.

Fonti: NVD, CVE-2026-109384

← Tutti gli articoli