Le module complémentaire Ninja Forms – File Uploads peut traiter des chemins de fichiers fournis par le client sans vérifier qu’ils restent dans le répertoire de téléversement attendu. La description indique qu’un attaquant non authentifié peut supprimer des fichiers arbitraires sur le serveur, ce qui peut notamment permettre une prise de contrôle du site si un fichier essentiel est supprimé.
Source : NVD — CVE-2026-126537
Analyse technique
Le traitement des téléversements en arrière-plan peut utiliser un chemin fourni par le client pour la suppression de fichiers sans contrôle de confinement dans le répertoire de téléversement.
Impact, versions et correctif
Action recommandée
Vérifier auprès de l’éditeur la disponibilité d’un correctif et mettre à jour dès qu’une version corrigée est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).