Suppression de fichiers dans les téléversements via Forminator Forms

Veille sécuritéCMS & e-commerce

P4Moyenne

CVE-2026-5461 permet à un attaquant non authentifié de supprimer des fichiers non-PHP arbitraires dans wp-content/uploads via des soumissions de brouillon Forminator mal validées. Les versions jusqu’à 1.55.0.2 inclus sont vulnérables ; la source fournie ne donne ni version corrigée ni mesure de contournement.

IdentifiantCVE-2026-5461

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-5461

Analyse technique

Les métadonnées de champs de téléversement fournies dans une requête POST de brouillon ne sont pas correctement validées ; elles peuvent être réutilisées lors d’un brouillon ultérieur au moyen de previous_draft_id pour déclencher la suppression.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-30, dans la période demandée ; la source décrit une vulnérabilité et son impact, pas seulement une mise à jour administrative.

ImpactUn attaquant non authentifié peut supprimer des fichiers non-PHP du répertoire wp-content/uploads.

Versions affectéesToutes les versions jusqu’à 1.55.0.2 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.5

EPSS0,29% · percentile 21,6%

Publication2026-10-30T05:16:59.327Z

Mise à jour2026-10-30T19:18:27.670Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible ; aucune version corrigée n’est indiquée dans la source fournie.

Sources

NVD — CVE-2026-5461

Priorisation DFS : P4 · 1 source(s).