CVE-2026-118235: RCE in SimpleForm plugin WordPress

RCE critico in SimpleForm per WordPress: caricamento file arbitrari da utenti non autenticati fino alla v.3.10.2

Il CVE-2026-118235 è una vulnerabilità di caricamento arbitrario di file nel plugin SimpleForm per WordPress, versioni fino a 3.10.2. La falla risiede nella funzione handle_upload, che non implementa una whitelist server-side delle estensioni e non sanitizza correttamente la derivazione dell'estensione del file. Attaccanti non autenticati possono aggirare tutte le validazioni usando nomi di file con punto finale (trailing-dot), consentendo il caricamento di file eseguibili che portano all'esecuzione remota di codice (RCE) sul server WordPress.

La vulnerabilità ha CVSS 9,8 (Critical). Il rischio massimo deriva dal controllo di accesso basato su un nonce stampato pubblicamente nell'attributo data-nonce di ogni form, trivialmente ottenibile da qualunque visitatore. Il CVE è stato pubblicato da NVD il 2026-10-31. Su X sono state registrate 4 menzioni nelle ultime 24 ore, segnale di rapida diffusione.

Inventariare siti WordPress con SimpleForm installato e controllarne la versione. Disabilitare il plugin fino a patch disponibile dal vendor. Se non praticabile, limitare accesso ai form con firewall su IP noti. Monitorare log di upload e anomalie file system. Verificare retroattivamente se il form sia stato sfruttato.

In sintesi

Cosa: Il CVE-2026-118235 è una vulnerabilità di caricamento arbitrario di file nel plugin SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications per WordPress versioni fino a 3.10.2. La funzione handle_upload manca di whitelist server-side per le estensioni e non sanitizza correttamente la derivazione dell'estensione, permettendo a nomi di file con punto finale (trailing-dot) di aggirare tutte le validazioni di estensione e MIME.
Gravità: CVSS 9,8 (Critical). Il rischio massimo deriva dalla capacità di sfruttamento da parte di attaccanti non autenticati: il controllo di accesso è un nonce stampato pubblicamente nell'attributo data-nonce di ogni form incorporato tramite shortcode, trivialmente ottenibile da qualunque visitatore.
Versioni interessate: SimpleForm ≤ 3.10.2
Correzione: Aggiornamento a versione successiva a 3.10.2 una volta disponibile dal vendor. Contattare il mantainer di SimpleForm per patch ufficiali.
Stato: Pubblicato da NVD il 2026-10-31. Su X sono state registrate 4 menzioni nelle ultime 24 ore. Non è riportato se exploit pubblici sono disponibili o se il CVE sia attivamente sfruttato.
Azione: Inventariare siti WordPress con SimpleForm installato e controllarne la versione. Disabilitare il plugin fino a patch. Se non praticabile, limitare accesso ai form con firewall su IP noti. Monitorare log di upload e anomalie file system. Verificare retroattivamente se il form sia stato sfruttato.

Fonti: NVD, CVE-2026-118235

← Tutti gli articoli